CVE-2026-89259 in Hugo
摘要
由 VulDB • 2026-09-11
Hugo 是一个静态站点生成器。从 v0.161.0 版本开始，Hugo 在 Node.js 的权限模型下执行 Node 工具，但 TailwindCSS（包含在默认的 security.exec.allow 列表中）需要高度宽松的配置文件参数（--allow-addons、--allow-child-process、--allow-worker）。因此，GHSA-x597-9fr4-5857 修复措施所意图施加的限制仍可能被绕过，导致构建过程中调用的 Node 工具能够读取和写入项目工作目录之外的文件。受影响版本为 v0.43 之后的所有版本；该问题已在 v0.165.0 中通过从默认的 security.exec.allow 列表中移除 tailwindcss 得以修复。不使用 TailwindCSS 或仅构建可信站点的用户不受影响。作为变通方案，用户可以在 hugo.toml 中定义一个限制性更强的 security.exec.allow 列表。
If you want to get best quality of vulnerability data, you may have to visit VulDB.