CVE-2026-89258 in Hugo
摘要
由 VulDB • 2026-09-11
Hugo 是一个静态站点生成器。在 v0.123.0 之后且 v0.165.0 之前的版本中，直接资源查找时未移除父目录中的符号链接（symlinks），导致路径限制被绕过。攻击者如果能够在挂载的目录内放置符号链接——或者说服站点作者将符号链接放置在其中（例如在本地 vendored theme 下的 themes/ 目录下）——就可以使执行直接查找的函数（如 resources.Get 和 os.ReadFile）跟随该符号链接，读取预期项目边界之外的文件，并在构建的网站中泄露其内容。作为 Go 模块从 GitHub 获取的主题会在下载时剥离符号链接，因此不受影响；多目录遍历操作（例如 content/asset 遍历）也不受影响。此问题是 GHSA-c3wq-j5vh-68rc 和 GHSA-fw87-fv5r-9fpw 的不完全修复的后续跟进问题，已在 v0.165.0 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.