Gohugoio Hugo 操作系统命令注入漏洞

漏洞信息详情

Gohugoio Hugo是Gohugoio社区的一款基于Go语言用于快速生成静态站点的框架。

Hugo 0.79.1之前版本存在操作系统命令注入漏洞，该漏洞源于如果在运行Hugo时在当前工作目录中发现同名恶意文件(exe或bat)，则会调用该恶意命令而不是系统命令。在不受信任的hugo网站中运行“hugo”的Windows用户将受到影响。

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/gohugoio/hugo/security/advisories/GHSA-8j34-9876-pvfq

来源:MISC

链接:https://github.com/golang/go/issues/38736

来源:CONFIRM

链接:https://github.com/gohugoio/hugo/security/advisories/GHSA-8j34-9876-pvfq

来源:nvd.nist.gov

链接:https://nvd.nist.gov/vuln/detail/CVE-2020-26284

暂无