„`html
Zusammenfassung
CVE-2026-10582 ist eine High-Severity-Schwachstelle in Hugo, die es Angreifern ermöglicht, interne Endpunkte abzurufen und deren Inhalte in statischen Build-Artefakten zu veröffentlichen. Die Schwachstelle entsteht durch unzureichende Validierung von URLs in der Security-Allowlist und fehlende Hostname-Auflösung bei HTTP-Anfragen.
Betroffene Systeme
Hugo-Installationen, die die Funktion resources.GetRemote nutzen und es Benutzern ermöglichen, URLs durch Content-Felder (Front-Matter, CMS-Felder) bereitzustellen. Besonders kritisch sind Hugo-Sites mit nutzergenerierten Inhalten oder integrierten Content-Management-Systemen.
Technische Details
Die Schwachstelle liegt in der unvollständigen URL-Validierung des CheckAllowedHTTPURL-Validators in config/security/securityConfig.go. Der Validator verarbeitet URL-Text und prüft nur die kanonisierten Formen von IPv4-Adressen (Integer-, Hex- oder Oktal-Format), führt aber keine Hostname-Auflösung durch.
Der HTTP-Client in resources/resource_factories/create/create.go implementiert keine Dial-Zeit-Hooks für zusätzliche Validierung. Dies ermöglicht es, dass Hostnamen, die zu Loopback-Adressen (127.0.0.1), privaten Netzwerken (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) oder Cloud-Metadaten-Servern auflösen, die Sicherheitspolicy erfüllen.
Ein Angreifer kann eine bösartig konstruierte URL einschleusen, die zur Build-Zeit interne Endpoints abfragen lässt. Die HTTP-Response wird direkt in die statische Website eingebettet und damit in das Build-Artefakt aufgenommen.
Empfohlene Massnahmen
- Hugo-Installation aktualisieren, sobald ein Patch verfĂĽgbar ist
- Nutzergenerierten Content ĂĽberprĂĽfen und validieren
- Zugriff auf
resources.GetRemoteeinschränken - Build-Umgebung isolieren und HTTP-Traffic monitoren
- Sensitive Daten aus Metadaten-Servern schĂĽtzen
Bewertung
CVSS Score: 7.4 (High)
Angriffsvektor: Netzwerk | Authentifizierung: Nicht erforderlich | Nutzerinteraktion: Erforderlich
Die Schwachstelle ermöglicht Datenlecks durch Build-Artefakte und stellt eine ernsthafte Bedrohung für Hugo-Installationen dar, die nutzergenerierten Content verarbeiten.
„`