CVE-2026-58403
Açıklama
Hugo bir statik site oluşturucudur. v0.123.0 ile v0.163.0 sürümleri arasında, Hugo'nun sanal dosya sistemi, bir bağlama noktası altındaki dosyaların bağlama ağacının dışına erişemeyeceği şekilde tasarlanmıştır; ancak bir regresyon nedeniyle RootMappingFs.statRoot, Lstat yerine sembolik bağlantıları takip eden Stat fonksiyonunu çağırmıştır. Bu durum, bağlama noktasının dışını işaret eden bir sembolik bağlantı olan "somefile" üzerinde doğrudan yapılan bir os.ReadFile "somefile" işleminin hedef dosyanın içeriğini döndürmesine neden olur. Bu durum, etkili bir şekilde, bir tema veya yerel bağlama noktasına yerleştirilen bir sembolik bağlantının, hugo çalıştıran kullanıcı tarafından erişilebilen rastgele dosyaları okumasına izin verir. Bu sorun v0.163.1 sürümünde düzeltilmiş
Nasıl düzeltilir
- gohugo hugo0.163.1 ya da sonraki bir sürüm
- github.com/gohugoio/hugo0.163.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gohugo hugo | 0.123.0 ≤ v < 0.163.1 | 0.163.1 |
| github.com/gohugoio/hugoGo | 0.123.0 ≤ v < 0.163.1 | 0.163.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.