🟠 CVE-2026-10582: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-10582 ist eine High-Severity-Schwachstelle in Hugo, die es Angreifern ermöglicht, interne Endpunkte abzurufen und deren Inhalte in statischen Build-Artefakten zu veröffentlichen. Die Schwachstelle entsteht durch unzureichende Validierung von URLs in der Security-Allowlist und fehlende Hostname-Auflösung bei HTTP-Anfragen.

Betroffene Systeme

Hugo-Installationen, die die Funktion resources.GetRemote nutzen und es Benutzern ermöglichen, URLs durch Content-Felder (Front-Matter, CMS-Felder) bereitzustellen. Besonders kritisch sind Hugo-Sites mit nutzergenerierten Inhalten oder integrierten Content-Management-Systemen.

Technische Details

Die Schwachstelle liegt in der unvollständigen URL-Validierung des CheckAllowedHTTPURL-Validators in config/security/securityConfig.go. Der Validator verarbeitet URL-Text und prüft nur die kanonisierten Formen von IPv4-Adressen (Integer-, Hex- oder Oktal-Format), führt aber keine Hostname-Auflösung durch.

Der HTTP-Client in resources/resource_factories/create/create.go implementiert keine Dial-Zeit-Hooks für zusätzliche Validierung. Dies ermöglicht es, dass Hostnamen, die zu Loopback-Adressen (127.0.0.1), privaten Netzwerken (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) oder Cloud-Metadaten-Servern auflösen, die Sicherheitspolicy erfüllen.

Ein Angreifer kann eine bösartig konstruierte URL einschleusen, die zur Build-Zeit interne Endpoints abfragen lässt. Die HTTP-Response wird direkt in die statische Website eingebettet und damit in das Build-Artefakt aufgenommen.

Empfohlene Massnahmen

• Hugo-Installation aktualisieren, sobald ein Patch verfügbar ist
• Nutzergenerierten Content überprüfen und validieren
• Zugriff auf resources.GetRemote einschränken
• Build-Umgebung isolieren und HTTP-Traffic monitoren
• Sensitive Daten aus Metadaten-Servern schützen

Bewertung

CVSS Score: 7.4 (High)
Angriffsvektor: Netzwerk | Authentifizierung: Nicht erforderlich | Nutzerinteraktion: Erforderlich
Die Schwachstelle ermöglicht Datenlecks durch Build-Artefakte und stellt eine ernsthafte Bedrohung für Hugo-Installationen dar, die nutzergenerierten Content verarbeiten.

„`