CVE-2026-44301
¿Qué es CVE-2026-44301?
Hugo es un generador de sitios estáticos. Desde 0.43 hasta antes de 0.161.0, al crear un sitio Hugo que utiliza canalizaciones de activos basadas en Node (PostCSS, Babel, TailwindCSS), Hugo invocaba las herramientas de Node configuradas sin restricciones de acceso al sistema de archivos. Como resultado, ejecutar hugo en un sitio que no es de confianza podría permitir que el código que se ejecuta a través de estas herramientas lea o escriba archivos fuera del directorio de trabajo del proyecto. Los usuarios que no utilizan PostCSS, Babel o TailwindCSS, o que sólo crean sitios confiables, no se ven afectados. Esta vulnerabilidad está solucionada en 0.161.0.
Preguntas frecuentes
CVE-2026-44301 tiene una puntuación CVSS de N/D/10, clasificada como Desconocido. Revise la lista de productos afectados y aplique los parches del fabricante.
El CVSS (Common Vulnerability Scoring System) califica la gravedad de las vulnerabilidades de 0,0 a 10,0. CVE-2026-44301 obtiene N/D/10 (Desconocido). Las puntuaciones de 9,0–10,0 son Críticas, 7,0–8,9 Altas, 4,0–6,9 Medias y por debajo de 4,0 Bajas.
La lista de dispositivos confirmados como afectados por CVE-2026-44301 se muestra en la sección "Dispositivos afectados" arriba. Compare su versión de firmware con el aviso de seguridad del proveedor y aplique el último parche.
Aplique la última actualización de firmware o software del proveedor. Consulte la sección de Referencias arriba para ver avisos oficiales y notas de parches. Si no hay parche disponible, considere deshabilitar la función afectada o aislar el dispositivo de redes no confiables.