Gohugoio Hugo 操作系统命令注入漏洞

Gohugoio Hugo是Gohugoio社区的一款基于Go语言用于快速生成静态站点的框架。

Hugo 0.79.1之前版本存在操作系统命令注入漏洞，该漏洞源于如果在运行Hugo时在当前工作目录中发现同名恶意文件(exe或bat)，则会调用该恶意命令而不是系统命令。在不受信任的hugo网站中运行“hugo”的Windows用户将受到影响。