9 декабря 2024 вышел Hugo v0.139.4 с security advisory 🔐

Суть #

Исправлено экранирование атрибутов Markdown в render hooks и shortcodes. Актуально, если вы:

  • принимаете Markdown извне (комментарии, гостевые посты, CMS);
  • не полностью доверяете файлам в content/ (общий репо, импорт).

Для полностью своего блога с одним автором риск ниже, но обновление всё равно дешёвое.

Что ещё в релизе #

  • github.com/bep/godartsass/v2 2.3.1 → 2.3.2
  • мелкие правки тестов/типизации (см. release notes)

Обновление #

brew upgrade hugo
hugo version   # v0.139.4+
hugo --minify

В CI — pin HUGO_VERSION=0.139.4 (или новее) и пересоберите image.

Итог #

Security-patch: поставили, прогнали сборку, живём дальше. Если контент когда-либо «не только ваш» — не откладывайте 🛡️