Dong2209

Ghost versions 5.3.0 before 6.62.0 contain a missing authorization vulnerability that allows an authenticated site member to read the excerpts of posts they do not have access to (gated content).

**Nome do Software Vulnerável e Versões Afetadas** Hugo versões 0.161.0 through 0.165.0 **Description** As ferramentas Node.js, incluindo `css.PostCSS`, `css.TailwindCSS` e `js.Babel`, são executadas sob um modelo de permissões destinado a restringir a leitura do sistema de arquivos ao diretório do projeto e montagens configuradas. No entanto, o modelo valida apenas o caminho léxico e segue links simbólicos que apontam para fora do conjunto permitido, não detectando links simbólicos que escapam do sandbox. Um invasor capaz de contribuir com conteúdo para um projeto pode enviar um link simbólico apontando para um arquivo sensível, como `/etc/passwd`, juntamente com um plugin PostCSS para lê-lo. Isso permite que qualquer arquivo legível pelo processo de build seja exposto e potencialmente incorporado ao site publicado. Este problema afeta builds que utilizam a configuração de segurança padrão e não impacta projetos que não utilizam ferramentas Node.js. **Recommendations** Atualize o Hugo para a versão 0.166.0. Como mitigação temporária, evite o uso das ferramentas `css.PostCSS`, `css.TailwindCSS` e `js.Babel`.

**Nome do Software Vulnerável e Versões Afetadas** Hugo versões 0.75.0 até 0.165.x **Description** Um problema de cross-site scripting armazenado existe porque o realce de sintaxe não escapa a opção `lineAnchors` antes de passá-la para o Chroma. Isso faz com que o valor seja escrito literalmente nos atributos `id` e `href` da marcação de número de linha gerada. Se um valor `lineAnchors` malicioso for fornecido por meio de um atributo de cerca de código Markdown ou pela função de modelo `highlight`, HTML não escapado é renderizado na página, permitindo a execução de JavaScript arbitrário nos navegadores dos visitantes. Isso afeta especificamente sites que constroem e publicam conteúdo Markdown de contribuidores não confiáveis. **Recommendations** Atualize o Hugo para a versão 0.166.0.

**Nome do Software Vulnerável e Versões Afetadas** Hugo versões 0.123.1 through 0.165.x **Description** As verificações de confinamento de links simbólicos (symlinks) no gerador de sites estáticos param na raiz da montagem. Isso permite que um tema ou módulo vendored localizado em `themes/` contenha um link simbólico na raiz da montagem (por exemplo, `themes/mytheme/assets` apontando para `/some/dir/outside`). Arquivos atrás de tais links simbólicos podem ser lidos durante a compilação do site usando funções como `resources.Get()` e `resources.Match()`, e podem ser publicados no diretório `public/` via montagens estáticas. Isso ignora a regra de que as fontes de montagem de temas e módulos devem ser caminhos locais. Módulos obtidos via Go modules não são afetados, pois seus arquivos zip não podem conter links simbólicos. **Recommendations** Atualize para a versão 0.166.0. Inspecione `themes/` e módulos vendored em busca de links simbólicos nas raízes de montagem antes da compilação. Substitua links simbólicos por montagens explícitas.