Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Hugo は静的サイトジェネレーターです。v0.161.0以降、HugoはNodeの権限モデルでNodeツールを実行しますが、デフォルトのsecurity.exec.allowリストに含まれるTailwindCSSには、非常に権限のある構成(--allow-addons、 --allow-child-process、 --allow-worker)が必要です。その結果、GHSA-x597-9fr4-5857 の修正が意図した制限がバイパスされたままとなり、ビルド中に呼び出される Node ツールが、プロジェクトの作業ディレクトリ外のファイルを読み書きできるようになる可能性があります。影響を受けるバージョンは v0.43 より後のバージョンです。この問題は、デフォルトのsecurity.exec.allowリストからtailwindcssを削除することにより、v0.165.0で修正されました。
    TailwindCSS を使用しないユーザーや、信頼されたサイトのみを構築するユーザーは影響を受けません。回避策として、ユーザーは hugo.toml で制限的な security.exec.allow リストを定義できます。(CVE-2026-89259)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-89259

critical Nessus プラグイン ID 344902

バージョン 1.1