JVNDB-2026-036142

GoHugoのHugoにおけるリンク解釈に関する脆弱性

Hugoのv0.161.0からv0.165.0までのバージョンは、Node.jsの許可モデルの下でNode.jsツール（css.PostCSS、css.TailwindCSS、js.Babel）を実行し、ファイルシステムの読み取りをプロジェクトディレクトリおよび設定されたマウントに制限しています。しかし、Node.jsの許可モデルは字句的なパスのみを検証し、許可された範囲外を指すシンボリックリンクをたどることがあるため、Hugoはサンドボックスを脱出するシンボリックリンクを検出できませんでした。Hugoプロジェクトにコンテンツを提供できる攻撃者（例えばプルリクエストを介して）は、assets/css/x.cssが/etc/passwdを指すようなシンボリックリンクを、このリンクを読み取るPostCSSプラグインと共にコミットできます。その結果、Hugoビルドプロセスが読み取れる任意のファイルが漏洩し、公開サイトに埋め込まれる可能性があります。この問題はデフォルトのセキュリティ設定を使用したビルドに影響し、Node.jsツールを呼び出さないプロジェクトには影響しません。v0.166.0で修正されており、許可されたパスをスキャンしてシンボリックリンクがその範囲外に解決される場合はビルドを失敗させるように変更されました。

GoHugo

• Hugo 0.161.0 以上 0.166.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary file read via symlinks bypassing the Node.js permission model in css.PostCSS and other Node.js tools  Advisory  gohugoio/hugo  GitHub

VulnCheck

• VulnCheck : Hugo v0.161.0 to v0.165.0 Arbitrary File Read via Symlinks  | Advisories | VulnCheck

1. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-100690

1. National Vulnerability Database (NVD) : CVE-2026-100690

• [2026年09月30日]
    掲載