CVE-2026-100692

Hugo to generator stron statycznych. W wersjach późniejszych niż v0.123.0 i wcześniejszych niż v0.166.0, sprawdzanie przez Hugo ograniczenia dowiązań symbolicznych zatrzymywało się w samym katalogu głównym montowania, więc motyw lub moduł zaewidencjonowany w themes/ (lub moduł dostarczony przez dostawcę) mógł zawierać dowiązanie symboliczne w katalogu głównym montowania (na przykład themes/mytheme/assets -> /some/dir/outside). Pliki za takim dowiązaniem symbolicznym można było odczytać podczas tworzenia witryny za pomocą zasobów.Get, Resources.Match i podobnych funkcji, a także można je było opublikować publicznie/za pośrednictwem statycznych montowań, z pominięciem zasady, że źródła montowania motywów i modułów muszą być ścieżkami lokalnymi. Nie ma to wpływu na moduły pobierane za pośrednictwem modułów Go, ponieważ zamki modułów Go nie mogą zawierać dowiązań symbolicznych i nie jest to eskalacja dla głównego projektu, który może już montować ścieżki bezwzględne przez konfigurację. Naprawiono w wersji 0.166.0, gdzie dowiązania symboliczne korzenie montowania i katalogi z dowiązaniami symbolicznymi pomiędzy katalogiem głównym montowania a katalogiem modułu są traktowane jako nieistniejące dla wszystkich modułów. Jako obejście, przed budowaniem sprawdź motywy/i moduły dostawców pod kątem dowiązań symbolicznych w korzeniach montowania lub zamień dowiązania symboliczne na jawne montowania.