CVE-2026-89258
Açıklama
Hugo bir statik site oluşturucudur. v0.123.0 sonrası ve v0.165.0 öncesi sürümlerde, doğrudan kaynak aramaları sırasında üst dizinlerdeki sembolik bağlantılar (symlinks) kaldırılmadığından yol sınırlaması (path confinement) atlatılabiliyordu. Bağlanmış bir dizine (örneğin, themes/ altında yerel olarak sağlanan bir temaya) sembolik bağlantı yerleştirebilen veya site yazarını bunu yapmaya ikna eden bir saldırgan; resources.Get ve os.ReadFile gibi doğrudan arama yapan işlevlerin bu sembolik bağlantıyı takip etmesini sağlayarak amaçlanan proje sınırlarının dışındaki dosyaların okunmasına ve içeriklerinin oluşturulan sitede ifşa edilmesine neden olabilir. GitHub'dan alınan Go modülleri olarak bağlanan temalar indirme sırasında sembolik bağlantıları temizlendiği için etkilenmez ve çoklu dizin yürütmeleri (örneğin content/asset yürütmesi) etkilenmez. Bu sorun, GHSA-c3wq-j5vh-68rc ve GHSA-fw87-fv5r-9fpw kayıtlarının eksik düzeltilmesinin bir devamıdır; v0.165.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- gohugoio hugo0.165.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gohugoio hugo | v < 0.165.0 | 0.165.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.