CVE-2026-100692

Hugo statik sayt generatorudur. v0.123.0 versiyasından sonrakı və v0.166.0 versiyasından əvvəlki versiyalarda Hugonun simvolik keçid (symlink) məhdudiyyət yoxlamaları montaj kökündə (mount root) dayanırdı, buna görə də themes/ qovluğuna daxil edilmiş mövzu və ya modul (və ya vendored modulu) montaj kökündə simvolik keçid ehtiva edə bilərdi (məsələn, themes/mytheme/assets -> /some/dir/outside). Belə bir simvolik keçidin arxasındakı fayllar sayt qurularkən resources.Get, resources.Match və oxşar funksiyalar vasitəsilə oxuna bildiyi kimi, həmçinin statik montajlar vasitəsilə public/ qovluğuna dərc edilə bilərdi ki, bu da mövzu və modul montaj mənbələrinin lokal yollar olması qaydasını yan keçirdi. Go modulları vasitəsilə əldə edilən modullar buna təsir etmir, çünki Go modul zip faylları simvolik keçidlər ehtiva edə bilməz; həmçinin konfiqurasiya yolu ilə artıq mütləq yolları montaj edə bilən əsas layihə üçün bu, imtiyazların yüksəldilməsi hesab olunmur. Problem v0.166.0 versiyasında düzəldilmişdir; burada simvolik keçidli montaj kökləri və montaj kökü ilə modul kataloqu arasındakı simvolik keçidli kataloqlar bütün modullar üçün mövcud olmayan kimi qəbul edilir. Müvəqqəti həll yolu kimi, qurma prosesindən əvvəl themes/ və vendored modullarında montaj köklərində olan simvolik keçidləri yoxlayın və ya simvolik keçidləri aşkar montajlarla əvəzləyin.