CVE-2026-58404— Hugo HTTP URL安全规则绕过漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-58404の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Hugo security.http.urls deny rules bypassed by alternate IPv4 encodings
ソース: NVD (National Vulnerability Database)
脆弱性説明
Hugo is a static site generator. From v0.162.0 through v0.163.0, the default security.http.urls policy denies requests to loopback, internal, and cloud-metadata IPv4 literals, but the deny rule only matched dotted-decimal notation, so alternate IPv4 encodings of the same addresses, including integer, hex, or octal, passed the policy. When a template passes an untrusted or data-derived URL to resources.GetRemote and the host platform uses the cgo system resolver, these encodings resolve to the blocked address, allowing build-time server-side requests to loopback and internal services, including the cloud-metadata endpoint in hosted or CI builds; the same check is reused on redirects, so the gap also applies to each redirect hop. This issue is fixed in v0.163.1.
ソース: NVD (National Vulnerability Database)
CVSS情報
N/A
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
服务端请求伪造(SSRF)
ソース: NVD (National Vulnerability Database)
影響を受ける製品
II. CVE-2026-58404の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-58404のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-58404 补丁与修复 (2)
CVE-2026-58404 厂商安全公告 (1)
CVE-2026-58404 厂商页面 (1)
- 🔗 Release v0.163.1 · gohugoio/hugo · GitHubx_refsource_MISC
Same Patch Batch · gohugoio · 2026-07-06 · 6 CVEs total
| CVE-2026-58402 | Hugo default code block renderer XSS via unescaped code-fence language | |
| CVE-2026-58403 | Hugo symlink confinement bypass in os.ReadFile | |
| CVE-2026-50134 | Hugo: security.http.urls allow-list bypass via HTTP redirects | |
| CVE-2026-50133 | Hugo: XSS via text/html content files | |
| CVE-2026-50135 | Hugo: Symlink confinement bypass in resources.Get |
IV. 関連脆弱性
同じ製品: hugo
- CVE-2026-50135
Hugo: Symlink confinement bypass in resources.Get - CVE-2026-50134
Hugo: security.http.urls allow-list bypass via HTTP redirect - CVE-2026-50133
Hugo: XSS via text/html content files - CVE-2026-58403
Hugo symlink confinement bypass in os.ReadFile - CVE-2026-58402
Hugo default code block renderer XSS via unescaped code-fenc
同じベンダー: gohugoio
- CVE-2026-50135
Hugo: Symlink confinement bypass in resources.Get - CVE-2026-50134
Hugo: security.http.urls allow-list bypass via HTTP redirect - CVE-2026-50133
Hugo: XSS via text/html content files - CVE-2026-58403
Hugo symlink confinement bypass in os.ReadFile - CVE-2026-58402
Hugo default code block renderer XSS via unescaped code-fenc
同じ弱点: CWE-918
- CVE-2026-54607
FastGPT: SSRF in HTTP-tool OpenAPI schema importer via Swagg - CVE-2026-45796
Coder vulnerable to unauthenticated SSRF via Azure Instance - CVE-2026-59707
LocalAI - Server-Side Request Forgery via POST /models/apply - CVE-2026-58468
NocoBase 2.1.20 Server-Side Request Forgery via serverReques - CVE-2026-34170
Coolify: Server-Side Request Forgery via attacker-controlled
V. CVE-2026-58404へのコメント
まだコメントはありません