CVE-2026-40903

Krytyczne

Opublikowano: 21/04/2026(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

goshs to prosty serwer HTTP napisany w Go, który przed wersją 2.0.0-beta.6 miał podatność ArtiPACKED. Ta podatność może prowadzić do wycieku GITHUB_TOKEN przez artefakty workflow, mimo że token nie jest obecny w kodzie źródłowym repozytorium.

Ocena ryzyka

Organizacje mogą być narażone na nieautoryzowany dostęp do zasobów, jeśli GITHUB_TOKEN zostanie ujawniony, co może prowadzić do poważnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się aktualizację goshs do wersji 2.0.0-beta.6 lub nowszej, aby usunąć tę podatność.

Oryginalny opis (angielski, źródło NVD)

goshs is a SimpleHTTPServer written in Go. Prior to 2.0.0-beta.6, goshs has an ArtiPACKED vulnerability. ArtiPACKED can lead to leakage of the GITHUB_TOKEN through workflow artifacts, even though the token is not present in the repository source code. This vulnerability is fixed in 2.0.0-beta.6.