Veille sécuritéFrontend
P4Moyenne
Hugo présente un path traversal dans le résolveur de repli ESBuild utilisé par js.Build, js.Batch et css.Build : un thème ou module malveillant peut faire inclure des fichiers situés hors de la racine du projet dans les fichiers générés. Mettre à jour vers Hugo 0.167.0 ou une version ultérieure corrigée.
JavaScript
IdentifiantCVE-2026-109595
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.167.0
Source : NVD — CVE-2026-109595
Analyse technique
Imports relatifs ou liens symboliques fournis par un thème ou module peuvent référencer des fichiers lisibles hors du répertoire du projet et les faire entrer dans les sorties JavaScript ou CSS.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-12 à 23:17:22.887Z, soit le 2026-10-13 à 01:17:22.887+02:00, dans la période demandée.
ImpactExposition de fichiers accessibles au compte de build dans les sorties publiées.
Versions affectéesHugo de 0.84.0 à toute version antérieure à 0.167.0
Version corrigée0.167.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.7
EPSS0,14% · percentile 3,2%
Publication2026-10-12T23:17:22.887Z
Mise à jour2026-10-12T23:17:22.887Z
Action recommandée
Mettre à jour Hugo au minimum en version 0.167.0 et examiner les thèmes ou modules utilisés pour la génération.
Sources
Priorisation DFS : P4 · 1 source(s).