PT-2026-50157 · Hugo · Hugo

CVE-2026-50134 · Publicado 2026-06-16 · Atualizado 2026-07-30

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Hugo versões 0.91.0 through 0.161.1

Description A função resources.GetRemote aplica a política security.http.urls na URL inicial fornecida, mas não revalida URLs intermediárias durante redirecionamentos HTTP 3xx. Isso permite que um servidor confiável, ou um invasor que controle seu DNS ou resposta, redirecione a requisição para um host proibido, como http://localhost/ ou um endereço IP interno. Este bypass também anula quaisquer restrições de formato de host implementadas pelo operador.

Recommendations Atualize para a versão 0.162.0.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-50134

GHSA-VXGM-5RMG-5W8G

GO-2026-5681

OPENSUSE-SU-2026:21483-1

RHSA-2026:24577

Produtos afetados

Hugo

Referências · 1754

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/50xxx/CVE-2026-50134.json · Exploit
• https://github.com/gohugoio/hugo/releases/tag/v0.162.0 · Nota
• https://github.com/gohugoio/hugo/commit/86fbb0f7a8bbb93e2e916390de9e5a4f24bf9f50 · Correção
• https://github.com/gohugoio/hugo/security/advisories/GHSA-vxgm-5rmg-5w8g · Aviso do Fabricante
• https://github.com/gohugoio/hugo · Nota
• https://suse.com/security/cve/CVE-2025-65797 · Nota
• https://suse.com/security/cve/CVE-2026-44427 · Nota
• https://suse.com/security/cve/CVE-2026-27589 · Nota
• https://suse.com/security/cve/CVE-2026-7736 · Nota
• https://suse.com/security/cve/CVE-2026-27137 · Nota
• https://suse.com/security/cve/CVE-2026-25232 · Nota
• https://suse.com/security/cve/CVE-2026-55513 · Nota
• https://suse.com/security/cve/CVE-2026-20736 · Nota
• https://suse.com/security/cve/CVE-2026-32828 · Nota
• https://suse.com/security/cve/CVE-2026-44323 · Nota