JVNDB-2026-036140

GoHugoのHugoにおけるリンク解釈に関する脆弱性

Hugoは静的サイトジェネレーターです。v0.123.0以降かつv0.166.0未満のバージョンでは、Hugoのシンボリックリンク（シンリンク）制限チェックがマウントルート自体で止まっていたため、themes/にチェックインされたテーマやモジュール（あるいはベンダー化されたモジュール）が、マウントルートにシンリンクを含む可能性がありました（例：themes/mytheme/assets -＞ /some/dir/outside）。このようなシンリンクの背後にあるファイルは、resources.Getやresources.Matchなどのサイトビルド時に読み取ることができ、静的マウントを経由してpublic/へ公開されてしまう可能性がありました。これは、テーマおよびモジュールのマウント元がローカルパスでなければならないというルールを回避してしまいます。Goモジュールを介して取得されるモジュールは、GoモジュールのZIPファイルにシンリンクが含まれないため影響を受けません。また、これはメインプロジェクトの昇格攻撃には該当しません。メインプロジェクトは設定によって絶対パスをマウントしている場合があるためです。この問題はv0.166.0で修正され、シンリンク化されたマウントルートおよびマウントルートとモジュールディレクトリ間のシンリンク化されたディレクトリは、すべてのモジュールについて存在しないものとして扱われるようになりました。対策としては、ビルド前にthemes/やベンダー化モジュールのマウントルートにシンリンクがないか検査すること、あるいはシンリンクを明示的なマウントに置き換えることを推奨します。

GoHugo

• Hugo 0.123.0 以上 0.166.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Symlinked mount roots in themes/modules could read files outside the module  Advisory  gohugoio/hugo  GitHub

VulnCheck

• VulnCheck : Hugo before v0.166.0 Path Traversal via Symlinked Mount Roots  | Advisories | VulnCheck

1. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-100692

1. National Vulnerability Database (NVD) : CVE-2026-100692

• [2026年09月30日]
    掲載