CVE-2026-75926

Hugo 0.161.0 versiyasında Node aktiv resurs boru kəmərləri Node.js icazə modeli ilə məhdudlaşdırılmışdı ki, PostCSS, Babel və ya TailwindCSS vasitəsilə işləyən kod layihə kataloqundan kənardakı fayl sisteminə daxil ola bilməsin. Hugo 0.162.0 versiyasında `config/security/securityConfig.go` faylındakı `AllowChildProcess` standart siyahısına `tailwindcss` əlavə edilmişdir; bu isə `common/hexec/exec.go` faylındakı `nodePermissionArgs`-in, başladılan alət `tailwindcss` adlandıqda `--allow-child-process` arqumentini əlavə etməsinə səbəb olur. TailwindCSS işə düşərkən saytın `tailwind.config.js` faylını `require` vasitəsilə yükləyir, buna görə də həmin fayldakı yuxarı səviyyəli kod icazə verilmiş Node prosesi daxilində icra olunur və shell başlatmaq üçün `child_process` funksiyasını çağıra bilir. Başladılan proses Node prosesi deyil və heç bir icazə bayrağını miras almır, buna görə də o, build prosesini yerinə yetirən hesabın tam imtiyazları ilə işləyir. Beləliklə, mövzusu (theme), modulu və ya başlanğıc şablonu Tailwind konfiqurasiyasını təmin edən saytın build edilməsi, icazə modelinin tətbiq etdiyi məhdud fayl girişi əvəzinə ixtiyari əmrin icrasına gətirib çıxarır. Hugo 0.165.0 versiyasında `tailwindcss` standart `security.exec.allow` siyahısından çıxarılıb, beləliklə, alət artıq standart konfiqurasiya altında başladılmır.