CVE-2026-10618

Hugo-nun standart fenced-code-block rendereri, code-fence məlumat sətirindən götürülmüş atribut dəyərlərini onları escape etmədən render edilmiş HTML-ə yazır. markup/internal/attributes/attributes.go faylındakı yeni funksiya hər bir atribut dəyərini saxlanıldığı kimi bayt kəsimindən (byte slice) sətirə çevirir və burada əvvəllər baş verən escape prosesini qəsdən ləğv edir. Eyni fayldakı RenderAttributes funksiyası isə yalnız hələ də bayt kəsimi olan dəyərləri escape edir, buna görə də onun escape budağına heç vaxt çatılmır və hər bir dəyər olduğu kimi yazılır. Funksiyanın sənədləşməsində sətir atributlarının HTML escape prosesinin yerinə yetirildiyi bildirilir, lakin bu belə deyil. Buna görə də, məlumat sətirindəki atribut dəyərinin daxilindəki dırnaq işarəsi atributu sonlandırır və wrapper elementinə hadisə idarəedicisi (event handler) daxil olmaqla əlavə atributun yerləşdirilməsinə şərait yaradır və səhifəni yükləyən hər bir ziyarətçi üçün skript icra olunur. Bu yola standart konfiqurasiya ilə, code fence-lər aktiv olduqda, goldmark-ın unsafe parametrinə və ya hər hansı xüsusi render hook-a ehtiyac olmadan çatılır. Atributlar parse edilərkən "on" ilə başlayan atribut adları filtrləndiyi üçün inyeksiya ad vasitəsilə deyil, dəyər vasitəsilə həyata keçirilir.