CVE-2026-58404
Açıklama
Hugo bir statik site oluşturucudur. v0.162.0 ile v0.163.0 sürümleri arasında, varsayılan security.http.urls politikası loopback, dahili ve cloud-metadata IPv4 literallerine yapılan istekleri reddeder ancak reddetme kuralı yalnızca noktalı-ondalık gösterimle eşleştiğinden; tamsayı, hex veya oktal dahil olmak üzere aynı adreslerin alternatif IPv4 kodlamaları politikayı geçebiliyordu. Bir şablon, güvenilmeyen veya veriden türetilmiş bir URL'yi resources.GetRemote fonksiyonuna ilettiğinde ve ana platform cgo sistem çözücülerini kullandığında, bu kodlamalar engellenmiş adrese çözümlenerek; barındırılan veya CI derlemelerindeki cloud-metadata uç noktası da dahil olmak üzere loopback ve dahili servislere derleme zamanında sunucu tarafı istekler yapılmasına izin verir; aynı kontrol yönlendirmelerde de yeniden kullanıldığından, bu açık her bir yönlendirme sıçraması için de geçerlidir. Bu sorun v0.163.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- gohugo hugo0.163.1 ya da sonraki bir sürüm
- github.com/gohugoio/hugo0.163.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gohugo hugo | 0.162.0 ≤ v < 0.163.1 | 0.163.1 |
| github.com/gohugoio/hugoGo | 0.162.0 ≤ v < 0.163.1 | 0.163.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.