CVE-2026-10582

Nome do Software Vulnerável e Versões Afetadas Hugo versões 0.91.0 through 0.165.0

Description Existe um problema na lista de permissões security.http.urls, que é o único controle para buscas externas realizadas por resources.GetRemote. A função CheckAllowedHTTPURL em config/security/securityConfig.go valida apenas o texto da URL e formas canonicalizadas de hosts IPv4, mas não resolve nomes de host nem inspeciona o endereço de destino real ao qual o cliente HTTP se conecta. Além disso, o cliente em resources/resource factories/create/create.go não possui um hook de tempo de discagem, portanto, nenhuma verificação ocorre durante a conexão. Consequentemente, um nome de host que resolva para um endereço de loopback, privado ou de metadados de nuvem pode satisfazer a política. Um invasor que consiga fornecer uma URL através de conteúdo, como um campo de CMS ou campo de front-matter, pode fazer com que o processo de build busque um endpoint interno e publique a resposta na saída estática, resultando em Server-Side Request Forgery (SSRF).

Recommendations Atualize o Hugo para uma versão posterior à 0.165.0. Como mitigação temporária, restrinja a capacidade de usuários não confiáveis de fornecer URLs via campos de front-matter ou CMS utilizados por resources.GetRemote.