CVE-2026-100694
Açıklama
Hugo bir statik site oluşturucudur. v0.56.0 ile v0.165.x arasındaki sürümlerde, text/org medya türüne eşlenen içerik dosyaları ham HTML kaçış karakterleri uygulanmadan işlenmektedir: Org dışa aktarma blokları ve @@html:...@@ parçacıkları HTML'i filtrelenmeden geçirerek oluşturulan sitede siteler arası betik çalıştırma (XSS) sonucunu doğurmaktadır. /content altındaki bir içerik dosyasını veya bir içerik adaptörü çıktısını sağlayabilen veya etkileyebilen bir saldırgan, etkilenen sayfaları ziyaret edenlerin tarayıcılarında yürütülecek betikler enjekte edebilir. Yalnızca kaynak dosyası veya içerik adaptörü çıktısı text/org medya türünü beyan eden sayfalar etkilenir ve tüm içerik kaynaklarına tam olarak güvenen siteler etkilenmez. v0.166.0 sürümü, varsayılan olarak text/org türünü reddeden bir security.allowContent izin listesi getirerek sorunu düzeltmiştir; kasıtlı olarak Org Mode içeriği oluşturan siteler [security] allowContent = ['.*'] ile bu özelliği tekrar etkinleştirebilir.
Nasıl düzeltilir
- gohugo hugo0.166.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gohugo hugo | 0.56.0 ≤ v < 0.166.0 | 0.166.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.