PT-2026-80795
CVE-2026-10582
·
تاريخ النشر
2026-08-24
·
تاريخ التحديث
2026-08-24
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Hugo من 0.91.0 إلى 0.165.0
الوصف
توجد مشكلة في قائمة السماح
security.http.urls التي تُعد وسيلة التحكم الوحيدة لعمليات الاسترداد الصادرة التي تنفذها resources.GetRemote. تقوم الدالة CheckAllowedHTTPURL الموجودة في config/security/securityConfig.go بالتحقق من صحة نص عنوان URL ومضيفات IPv4 المعيارية، لكنها تفشل في تحليل أسماء المضيفين أو فحص عنوان الوجهة الفعلي الذي يتصل به عميل HTTP. بالإضافة إلى ذلك، يفتقر العميل الموجود في resources/resource factories/create/create.go إلى ربط وقت الاتصال (dial-time hook)، مما يعني عدم إجراء أي تحقق من الصحة خلال مرحلة الاتصال. ونتيجة لذلك، يمكن لاسم مضيف يُحل إلى عنوان loopback أو عنوان خاص أو عنوان بيانات تعريف سحابية أن يتجاوز السياسة. يمكن للمهاجم القادر على توفير عنوان URL عبر المحتوى، مثل حقل CMS أو حقل front-matter، أن يجبر عملية البناء على جلب البيانات من نقطة نهاية داخلية وتضمين الاستجابة في المخرجات الثابتة، مما يؤدي إلى تزوير الطلب من جانب الخادم (SSRF).التوصيات
تحديث Hugo إلى إصدار أحدث من 0.165.0.
كإجراء تخفيفي مؤقت، تقييد قدرة المستخدمين غير الموثوق بهم على توفير عناوين URL عبر حقول المقدمة أو حقول نظام إدارة المحتوى (CMS) التي تستخدمها
resources.GetRemote.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾