CVE-2026-10582

Hugo-nun security.http.urls ağ siyahısı resources.GetRemote tərəfindən həyata keçirilən çıxan sorğular üçün yeganə nəzarət mexanizmidir və o, yalnız URL mətnini yoxlayır. config/security/securityConfig.go faylındakı CheckAllowedHTTPURL konfiqurasiya edilmiş şablon siyahısını tətbiq edir və sonra tam ədəd, heksadezimal və ya oktal IPv4 hostunun kanonikləşdirilmiş formasını yenidən yoxlayır, lakin o, heç vaxt host adını (hostname) həll etmir və HTTP klientinin faktiki olaraq qoşulduğu ünvanı yoxlamır. resources/resource_factories/create/create.go faylında qurulan klient heç bir zəng zamanı (dial-time) hook təyin etmir, buna görə də qoşulma zamanı heç bir yoxlama baş vermir. Beləliklə, loopback, şəxsi və ya bulud metadata ünvanına yönələn host adı siyasətə uyğun gəlir və cavab gövdəsi generatsiya edilmiş sayta daxil edilir. Məzmun vasitəsilə, məsələn, front-matter sahəsi və ya CMS sahəsi vasitəsilə URL təmin edə bilən hücumçu, build prosesinin daxili son nöqtəni (endpoint) çağırmasını və cavabı statik çıxışda dərc etməsini təmin edə bilər, beləliklə, build artefaktının özü məlumatları kənara çıxarır.