发布日期: 2026-06-11
版本号: v0.163.1

本次发布主要包含多项安全修复，包括升级上游依赖项 golang.org/x/image 至0.42.0版本。特别感谢@vnth4nhnt发现并报告了a00b5c72与cf9c8f93提交中修复的问题（后续将处理相关CVE）。近期安全报告数量增加，并非Hugo安全性下降，而是新型AI工具以其严格的安全模型为基准进行扫描所致，类似现象也见于Go语言近期的安全问题列表。具体更新内容涵盖：修复多渲染段合并逻辑、规范化IPv4地址编码检查、在文件系统操作中移除符号链接解析，以及修复convert命令。

更新内容 （中文）

本次发布的修复中大部分与安全相关（包括来自 golang.org/x/image 的上游修复 93c8c7d3）。感谢 @vnth4nhnt 发现并在 a00b5c72 和 cf9c8f93 中修复的问题（我将在后续处理相关 CVE 工作）。近期安全报告数量有所增加，这并不代表 Hugo 变得不安全，主要是由于强大且新兴的 AI 工具将 Hugo 严格的安全模型作为其测试基线所致。可参考 Go 近期的安全问题列表了解相关案例。

变更内容

  • 构建依赖：将 golang.org/x/image 从 0.41.0 升级至 0.42.0 (提交 93c8c7d3) @dependabot[bot]
  • 修复多 –renderSegments 合并行为 (提交 95e5e9f4) @bep #15024
  • 安全加固：在 http.urls 检查中规范化整数型 IPv4 主机编码 (提交 a00b5c72) @bep
  • 移除 os.ReadDir、os.ReadFile、os.Stat 和 os.FileExists 中的符号链接支持 (提交 cf9c8f93) @bep #15019
  • 命令行：修复 convert 命令 (提交 2602796c) @jmooring #15012

更新内容 （原始）

The majority of the fixes in this release are security related (including the upstream fix in 93c8c7d3 (golang.org/x/image)). Thanks to @vnth4nhnt for finding the issues fixed in a00b5c72 and cf9c8f93 (I will do the CVE work on this later). There has been a uptick in security reports lately, which doesn’t mean that Hugo has gotten less secure, this is mostly the work of the new and powerful AI tools using Hugo’s restrictive security model as their baseline. Just take a look at Go’s recent security issue list to see a demonstration of this.

What’s Changed

  • build(deps): bump golang.org/x/image from 0.41.0 to 0.42.0 93c8c7d3 @dependabot[bot]
  • Fix multi –renderSegments merge behavior 95e5e9f4 @bep #15024
  • security: Normalize integer IPv4 host encodings in http.urls check a00b5c72 @bep
  • Drop symlinks in os.ReadDir, os.ReadFile, os.Stat and os.FileExists cf9c8f93 @bep #15019
  • commands: Fix convert command 2602796c @jmooring #15012

下载链接