CVE-2026-10618

إصدارات Hugo من 0.93.0 إلى 0.165.0

يفشل مُعالج fenced-code-block الافتراضي في إخفاء قيم السمات المستمدة من سلسلة معلومات code-fence عند كتابتها إلى HTML المعروض. يحدث هذا لأن الدالة New في markup/internal/attributes/attributes.go تحول قيم السمات من شرائح البايت إلى سلاسل، متجاوزةً عملية الإخفاء. وبالتالي، فإن الدالة RenderAttributes() لا تقوم بتحويل القيم التي تظل على شكل شرائح بايت فقط، مما يعني أن القيم النصية تُكتب حرفياً. يمكن للمهاجم استخدام علامة اقتباس داخل قيمة السمة لإنهاء السمة وحقن سمات إضافية، مثل معالجات الأحداث، في عنصر الغلاف، مما يؤدي إلى ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة. توجد هذه المشكلة في التكوين الافتراضي عند تمكين حواجز الكود (code fences)، بغض النظر عن الإعداد غير الآمن لـ goldmark أو خطافات العرض المخصصة. وعلى الرغم من تصفية أسماء السمات التي تبدأ بـ on أثناء التحليل، إلا أن الحقن لا يزال ممكنًا عبر قيمة السمة.

تحديث Hugo إلى إصدار أحدث من 0.165.0.