JVNDB-2026-036138

GoHugoのHugoにおけるクロスサイトスクリプティングの脆弱性

Hugoは静的サイトジェネレーターです。バージョンv0.56.0からv0.165.xまでの間、text/orgメディアタイプにマッピングされたコンテンツファイルは、生のHTMLをエスケープせずにレンダリングされていました。Orgエクスポートブロックや@@html:...@@スニペットはHTMLをエスケープせずに通過させるため、生成されたサイトでクロスサイトスクリプティング（XSS）が発生します。/content以下のコンテンツファイルやコンテンツアダプターの出力に対して操作または影響を及ぼせる攻撃者は、影響を受けるページの訪問者のブラウザで実行されるスクリプトを注入することができます。text/orgメディアタイプを宣言しているソースファイルまたはコンテンツアダプター出力を持つページのみが影響を受け、すべてのコンテンツソースを完全に信頼しているサイトでは影響を受けません。バージョンv0.166.0では、デフォルトでtext/orgを拒否するsecurity.allowContent許可リストを導入することでこの問題を修正しました。Org Modeコンテンツを意図的に作成するサイトは、[security] allowContent = ['.*']と設定することで再度許可できます。

GoHugo

• Hugo 0.56.0 以上 0.166.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : XSS via text/org content files  Advisory  gohugoio/hugo  GitHub

VulnCheck

• VulnCheck : Hugo before 0.166.0 Cross-Site Scripting via text/org  | Advisories | VulnCheck

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-100694

1. National Vulnerability Database (NVD) : CVE-2026-100694

• [2026年09月30日]
    掲載