Hugo Markdown titles do not escaped in internal render hooks

中 6.1CVE-2024-32875 · GHSA-ppf8-hhpp-f5hj · GO-2024-2747 · 23/04/2024 公開 · 17/06/2026 更新

要点

CVE-2024-32875 は github.com/gohugoio/hugo に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.54%（全脆弱性の 45.3% より高い）。
対処：0.125.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/gohugoio/hugo Go	`≥ 0.123.0, < 0.125.3`	`0.125.3`

概要

Impact

Title argument in Markdown for links and images not escaped in internal render hooks. Impacted are Hugo users who have these hooks enabled and do not trust their Markdown content files.

Patches

Patched in v0.125.3.

Workarounds

Replace with user defined templates or disable the internal templates: https://gohugo.io/getting-started/configuration-markup/#renderhooksimageenabledefault

References

https://github.com/gohugoio/hugo/releases/tag/v0.125.3

NVD の説明

Hugo is a static site generator. Starting in version 0.123.0 and prior to version 0.125.3, title arguments in Markdown for links and images not escaped in internal render hooks. Hugo users who are impacted are those who have these hooks enabled and do not trust their Markdown content files. The issue is patched in v0.125.3. As a workaround, replace the templates with user defined templates or disable the internal templates.

参考情報

gohugoio/hugo security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2024-32875 · ADVISORY
gohugoio/hugo commit 15a4b9b · WEB
gohugoio/hugo · PACKAGE
gohugoio/hugo release v0.125.3 · WEB
gohugo.io/getting-started/configuration-markup · WEB
pkg.go.dev/vuln/GO-2024-2747 · WEB

github.com/gohugoio/hugo のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

github.com/gohugoio/hugo

≥ 0.123.0, < 0.125.3

0.125.3

概要