CVE-2026-50134
Açıklama
Hugo bir statik site oluşturucudur. 0.91.0 ile 0.162.0 sürümleri arasında, resources.GetRemote çağrıldığı URL üzerinde security.http.urls kısıtlamalarını uygular ancak HTTP 3xx yönlendirmelerindeki ara URL'leri yeniden doğrulamaz. Bu nedenle, izin verilen bir sunucu (veya onun DNS veya yanıtlarını kontrol eden bir saldırgan), isteği politikanın yasakladığı bir ana bilgisayara yönlendirebilir ve Hugo veriyi yönlendirilen hedeften çeker. Aynı atlatma yöntemi, operatörün belirlediği tüm host-shape kısıtlamalarını da etkisiz hale getirir. Bu güvenlik açığı 0.162.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- gohugo hugo0.162.0 ya da sonraki bir sürüm
- github.com/gohugoio/hugo0.162.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gohugo hugo | 0.91.0 ≤ v < 0.162.0 | 0.162.0 |
| github.com/gohugoio/hugoGo | 0.91.0 ≤ v < 0.162.0 | 0.162.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.