JVNDB-2026-036137

GoHugoのHugoにおけるクロスサイトスクリプティングの脆弱性

Hugoのデフォルトのフェンス付きコードブロックレンダラーは、コードフェンスの情報文字列から取得した属性値をエスケープせずにレンダーされたHTMLに書き込みます。markup/internal/attributes/attributes.goの新しいコードでは、属性値がバイトスライスから文字列に変換されて保存される際に、意図的に以前そこで行われていたエスケープ処理が削除されています。同じファイル内のRenderAttributes関数は、まだバイトスライスである値のみをエスケープするため、そのエスケープ処理の分岐は決して実行されず、すべての値がそのまま書き込まれます。この関数のドキュメントには文字列属性のHTMLエスケープを行うと記載されていますが、実際には行われていません。したがって、情報文字列の属性値の中に引用符がある場合、その属性が終了したと見なされ、さらにイベントハンドラーを含む追加の属性をラッパー要素に配置でき、そのスクリプトはページを読み込むすべての訪問者で実行されます。この攻撃経路はデフォルト設定で到達可能であり、コードフェンスが有効で、goldmarkのunsafe設定やカスタムレンダーフックが使用されていない状態となっています。属性名の先頭が"on"で始まるものは属性解析時にフィルタリングされるため、インジェクションは名前ではなく値を通じて行われます。

GoHugo

• Hugo 0.93.0 以上 0.165.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

VulnCheck

• VulnCheck : Hugo 0.93.0 through 0.165.0 Stored Cross-Site Scripting via Unescaped Code-Fence Attribute Values  | Advisories | VulnCheck

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-10618

1. National Vulnerability Database (NVD) : CVE-2026-10618
2. 関連文書 : hugo/markup/goldmark/codeblocks/render.go at v0.165.0  gohugoio/hugo  GitHub
3. 関連文書 : hugo/markup/highlight/highlight.go at v0.165.0  gohugoio/hugo  GitHub
4. 関連文書 : hugo/markup/internal/attributes/attributes.go at v0.165.0  gohugoio/hugo  GitHub
5. 関連文書 : GitHub - gohugoio/hugo: The world’s fastest framework for building websites.  GitHub

• [2026年09月30日]
    掲載