CVE-2026-89259 in Hugo
Tóm tắt
Bởi VulDB • 11/09/2026
Hugo là một trình tạo trang web tĩnh (static site generator). Từ phiên bản v0.161.0 trở đi, Hugo thực thi các công cụ Node theo mô hình quyền hạn của Node; tuy nhiên, TailwindCSS — được đưa vào danh sách mặc định security.exec.allow — yêu cầu cấu hình có độ cho phép rất cao (--allow-addons, --allow-child-process, --allow-worker). Do đó, các biện pháp giới hạn dự kiến từ bản sửa lỗi GHSA-x597-9fr4-5857 vẫn có thể bị bỏ qua, cho phép một công cụ Node được gọi trong quá trình xây dựng (build) đọc và ghi tệp tin bên ngoài thư mục làm việc của dự án. Các phiên bản chịu ảnh hưởng là những phiên bản sau v0.43; vấn đề này đã được khắc phục trong v0.165.0 bằng cách loại bỏ tailwindcss khỏi danh sách mặc định security.exec.allow. Người dùng không sử dụng TailwindCSS hoặc chỉ xây dựng các trang web đáng tin cậy thì không bị ảnh hưởng. Để xử lý tạm thời, người dùng có thể xác định một danh sách security.exec.allow hạn chế trong hugo.toml.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.