CVE-2026-89259
Açıklama
Hugo bir statik site oluşturucudur. v0.161.0 sürümünden itibaren Hugo, Node araçlarını Node'un izin modeli altında çalıştırır ancak varsayılan security.exec.allow listesinde yer alan TailwindCSS, oldukça geniş yetkili bir yapılandırma (--allow-addons, --allow-child-process, --allow-worker) gerektirir. Sonuç olarak, GHSA-x597-9fr4-5857 için getirilen düzeltmenin amaçladığı kısıtlamalar hala atlatılabilir ve bu durum, bir derleme sırasında çağrılan bir Node aracının proje çalışma dizini dışındaki dosyaları okumasına ve yazmasına olanak tanıyabilir. Etkilenen sürümler v0.43 sonrası sürümlerdir; sorun, tailwindcss'in varsayılan security.exec.allow listesinden çıkarılmasıyla v0.165.0 sürümünde giderilmiştir. TailwindCSS kullanmayan veya yalnızca güvenilir siteleri derleyen kullanıcılar etkilenmemektedir. Geçici bir çözüm olarak kullanıcılar, hugo.toml dosyasında kısıtlayıcı bir security.exec.allow listesi tanımlayabilirler.
Nasıl düzeltilir
- gohugoio hugo0.165.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gohugoio hugo | v < 0.165.0 | 0.165.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.