CVE-2026-89258
Təsvir
Hugo statik sayt generatorudur. v0.123.0 versiyasından sonrakı və v0.165.0 versiyasından əvvəlki versiyalarda, birbaşa resurs axtarışları zamanı valideyn kataloqlarındakı simvolik keçidlər (symlinks) silinmir, bu da yol məhdudiyyətinin (path confinement) yan keçilməsinə şərait yaradır. Montaj edilmiş kataloqun daxilinə (məsələn, themes/ altında lokal olaraq təmin edilən mövzuya) simvolik keçid yerləşdirə bilən və ya sayt müəllifini bunu etməyə razı salan hücumçu, resources.Get və os.ReadFile kimi birbaşa axtarışları həyata keçirən funksiyaların həmin simvolik keçidi izləməsinə və nəzərdə tutulmuş layihə sərhədləri xaricindəki faylları oxuyaraq onların məzmununu qurulmuş saytda açıqlamasına səbəb ola bilər. GitHub-dan götürülmüş Go modulları kimi montaj edilmiş mövzular yükləmə zamanı simvolik keçidlərdən təmizlənir və buna təsir etmir, həmçinin çoxkataloqlu gəzmələr (məsələn, content/asset gəzmələri) də təsirlənmir. Bu problem GHSA-c3wq-j5vh-68rc və GHSA-fw87-fv5r-9fpw boşluqlarının natamam düzəlişi ilə bağlıdır və v0.165.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- gohugoio hugo0.165.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gohugoio hugo | v < 0.165.0 | 0.165.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.