Gohugoio Hugo 操作系统命令注入漏洞

漏洞介绍

Gohugoio Hugo是Gohugoio社区的一款基于Go语言用于快速生成静态站点的框架。

Hugo 0.79.1之前版本存在操作系统命令注入漏洞，该漏洞源于如果在运行Hugo时在当前工作目录中发现同名恶意文件(exe或bat)，则会调用该恶意命令而不是系统命令。在不受信任的hugo网站中运行“hugo”的Windows用户将受到影响。

漏洞补丁

目前厂商已发布升级了Gohugoio Hugo 操作系统命令注入漏洞的补丁，Gohugoio Hugo 操作系统命令注入漏洞的补丁获取链接：

https://github.com/gohugoio/hugo/security/advisories/GHSA-8j34-9876-pvfq

参考网址

来源:MISC

链接：https://github.com/golang/go/issues/38736

来源:CONFIRM

链接：https://github.com/gohugoio/hugo/security/advisories/GHSA-8j34-9876-pvfq

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202012-1424