JVNDB-2026-036058

GoHugoのHugoにおけるリソースの安全ではないデフォルト値への初期化に関する脆弱性

Hugo 0.161.0 では、Node アセットパイプラインを Node.js の権限モデルの背後に配置し、PostCSS、Babel、または TailwindCSS を通じて実行されるコードがプロジェクトディレクトリ外のファイルシステムにアクセスできないようにしました。Hugo 0.162.0 では、config/security/securityConfig.go の AllowChildProcess のデフォルトに tailwindcss を追加し、common/hexec/exec.go の nodePermissionArgs が起動されるツール名が tailwindcss の場合に --allow-child-process を付加するように変更しました。TailwindCSS は起動時に require を通じてサイトの tailwind.config.js を読み込むため、そのファイル内のトップレベルコードは許可された Node プロセス内で実行され、child_process を呼び出してシェルを生成可能です。生成されたプロセスは Node プロセスではなく、権限フラグを継承しないため、ビルドを実行するアカウントの完全な権限で動作します。したがって、テーマ、モジュール、またはスターターテンプレートが Tailwind 設定を提供するサイトをビルドすると、権限モデルが強制すべき制限されたファイルアクセスではなく、任意のコマンド実行が可能となります。Hugo 0.165.0 では、tailwindcss をデフォルトの security.exec.allow リストから削除し、デフォルト設定ではこのツールが起動されなくなりました。

GoHugo

• Hugo 0.162.0 以上 0.165.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Remove tailwindcss from the default security.exec.allow list  Issue #15178  gohugoio/hugo

VulnCheck

• VulnCheck : Hugo 0.162.0 to 0.164.x - Node Permission Model Bypass via Default TailwindCSS Child-Process Grant  | Advisories | VulnCheck

1. リソースの安全ではないデフォルト値への初期化(CWE-1188) [その他]

1. CVE-2026-75926

1. National Vulnerability Database (NVD) : CVE-2026-75926
2. 関連文書 : hugo/common/hexec/exec.go at v0.164.0  gohugoio/hugo  GitHub
3. 関連文書 : hugo/config/security/securityConfig.go at v0.164.0  gohugoio/hugo  GitHub
4. 関連文書 : Remove tailwindcss from the default security.exec.allow list (note)  gohugoio/hugo@8a55df7  GitHub
5. 関連文書 : GitHub - gohugoio/hugo: The world’s fastest framework for building websites.  GitHub

• [2026年09月30日]
    掲載