CVE-2026-10582
Açıklama
Hugo'nun security.http.urls izin verilenler listesi, resources.GetRemote tarafından yapılan giden istekler üzerindeki tek kontroldür ve yalnızca URL metnini denetler. config/security/securityConfig.go dosyasındaki CheckAllowedHTTPURL fonksiyonu yapılandırılmış desen listesini uygular ve ardından bir tamsayı, hex veya oktal IPv4 ana bilgisayarının kanonikleştirilmiş biçimini yeniden kontrol eder; ancak ana bilgisayar adını asla çözümlemez ve HTTP istemcisinin gerçekte bağlandığı adresi hiçbir zaman denetlemez. resources/resource_factories/create/create.go dosyasında oluşturulan istemci herhangi bir arama zamanı kancası (dial-time hook) kurmadığından, bağlantı sırasında da herhangi bir kontrol gerçekleşmez. Bu nedenle, döngüsel (loopback), özel veya bulut meta veri adresine çözümlenen bir ana bilgisayar adı politikayı karşılar ve yanıt gövdesi oluşturulan siteye yerleştirilir. İçerik aracılığıyla, örneğin bir ön madde alanı veya bir CMS alanı üzerinden URL sağlayabilen bir saldırgan, derleme işleminin dahili bir uç noktadan veri çekmesini ve yanıtı statik çıktıda yayınlamasını sağlayabilir; böylece derleme artifaktının kendisi veriyi dışarı taşımış olur.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gohugoio hugo | 0.91.0 ≤ v ≤ 0.165.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.