CVE-2026-75926

Hugo 0.161.0, PostCSS, Babel veya TailwindCSS üzerinden çalışan kodların proje dizini dışındaki dosya sistemine erişememesi için Node varlık hatlarını (asset pipelines) Node.js izin modeli arkasına yerleştirmiştir. Hugo 0.162.0, config/security/securityConfig.go içindeki AllowChildProcess varsayılanına tailwindcss eklemiş; bu durum, başlatılan araç tailwindcss olarak adlandırıldığında common/hexec/exec.go içindeki nodePermissionArgs kısmının --allow-child-process parametresini eklemesini sağlamıştır. TailwindCSS, başlangıçta sitenin tailwind.config.js dosyasını require aracılığıyla yükler, bu nedenle söz konusu dosyadaki üst düzey kodlar izin verilen Node işlemi içinde yürütülür ve bir kabuk (shell) oluşturmak için child_process fonksiyonunu çağırabilir. Oluşturulan işlem bir Node işlemi değildir ve hiçbir izin bayrağını miras almaz, dolayısıyla derlemeyi gerçekleştiren hesabın tam yetkileriyle çalışır. Bu nedenle, teması, modülü veya başlangıç şablonu Tailwind yapılandırmasını sağlayan bir sitenin derlenmesi, izin modelinin zorunlu kılmaya çalıştığı kısıtlı dosya erişimi yerine rastgele komut çalıştırılmasına yol açar. Hugo 0.165.0, tailwindcss'i varsayılan security.exec.allow listesinden çıkararak aracın artık varsayılan yapılandırma altında başlatılmamasını sağlar.