CVE-2026-58404
Təsvir
Hugo statik sayt generatorudur. v0.162.0 versiyasından v0.163.0 versiyasına qədər olan dövrdə standart security.http.urls siyasəti loopback, daxili və cloud-metadata IPv4 literallarına sorğuları rədd edir, lakin rədd etmə qaydası yalnız nöqtəli-onluq (dotted-decimal) qeydiyyat formasına uyğun gəlirdi, buna görə də eyni ünvanların tam ədəd, hex və ya səkkizlik (octal) kimi alternativ IPv4 kodlaşdırmaları bu siyasətdən yan keçmişdir. Şablon etibarsız və ya məlumatlardan törəmiş URL-i resources.GetRemote funksiyasına ötürdükdə və host platforması cgo sistem resolver-indən istifadə etdikdə, bu kodlaşdırmalar bloklanmış ünvana yönəlir ki, bu da build zamanı loopback və daxili xidmətlərə, o cümlədən host edilmiş və ya CI build-lərdəki cloud-metadata son nöqtəsinə server tərəfli sorğuların göndərilməsinə şərait yaradır; eyni yoxlama yönləndirmələrdə (redirects) də təkrar istifadə olunur, buna görə də boşluq hər bir yönləndirmə mərhələsinə şamil edilir. Bu problem v0.163.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- gohugo hugo0.163.1 və ya daha yeni versiya
- github.com/gohugoio/hugo0.163.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gohugo hugo | 0.162.0 ≤ v < 0.163.1 | 0.163.1 |
| github.com/gohugoio/hugoGo | 0.162.0 ≤ v < 0.163.1 | 0.163.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.