CVE-2026-100694
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Hugo to generator stron statycznych. W wersjach od v0.56.0 do v0.165.x pliki treści odwzorowane na typ nośnika tekst/org są renderowane bez ucieczki przed surowym kodem HTML: bloki eksportu org i fragmenty @@html:...@@ przechodzą HTML bez zmiany znaczenia, co skutkuje powstaniem skryptów krzyżowych (XSS) w wygenerowanej witrynie. Osoba atakująca, która może dostarczyć plik zawartości lub wpłynąć na plik treści w katalogu /content lub na wyjściu adaptera treści, może wstrzyknąć skrypty uruchamiane w przeglądarkach osób odwiedzających strony, których dotyczy problem. Dotyczy to tylko stron, których plik źródłowy lub dane wyjściowe adaptera zawartości deklarują typ nośnika tekstowego/organizacyjnego. Nie ma to wpływu na witryny, które w pełni ufają wszystkim źródłom treści. Wersja v0.166.0 rozwiązuje ten problem, wprowadzając listę dozwolonych security.allowContent, która domyślnie odrzuca tekst/org; witryny, które celowo tworzą treść w trybie organizacji, mogą ponownie wyrazić zgodę za pomocą [bezpieczeństwa] zezwolenieContent = ['.*'].
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org