CVE-2026-42091
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W goshs (serwer HTTP napisany w Go) w wersjach przed 2.0.2 handler uploadu PUT nie waliduje tokenu CSRF, w przeciwieństwie do handlera POST poprawionego przy CVE-2026-40883. W połączeniu z bezwarunkowym nagłówkiem Access-Control-Allow-Origin: * w obsłudze preflight OPTIONS dowolna strona może zapisywać pliki na instancji goshs przez przeglądarkę ofiary, omijając izolację sieciową.
Ocena ryzyka
Atakujący może zdalnie, za pośrednictwem przeglądarki użytkownika, zapisywać dowolne pliki na serwerze goshs, również w sieciach wewnętrznych lub na localhost. Może to prowadzić do nadpisania plików, wstrzyknięcia złośliwej treści lub dalszej eskalacji.
Rekomendacja
Zaktualizuj goshs do wersji 2.0.2 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do instancji goshs oraz wyłączenie lub zaostrzenie nagłówków CORS.
Inne podatności w goshs
Zobacz wszystkie- CVE-2026-64863Krytyczne
W serwerze plików goshs przed wersją 2.1.4, obsługa metody WebDAV MOVE nie wymuszała opcji --no-delete, co pozwalało klientom WebDAV na usuwanie lub nadpisywanie plików za pomocą MOVE z nagłówkiem Overwrite: T.
- CVE-2026-62325Krytyczne
W goshs od wersji 2.1.3 do 2.1.4, obsługa hasła SFTP sprawdzała tylko czy nazwa użytkownika i hasło nie są puste, co przy uruchomieniu z -b 'admin:' -sftp i bez -fkf pozostawiało oba mechanizmy uwierzytelniania SFTP nieustawione, umożliwiając nieuwierzytelniony dostęp do plików.
- CVE-2026-40903Krytyczne
goshs to prosty serwer HTTP napisany w Go, który przed wersją 2.0.0-beta.6 miał podatność ArtiPACKED. Ta podatność może prowadzić do wycieku GITHUB_TOKEN przez artefakty workflow, mimo że token nie jest obecny w kodzie źródłowym repozytorium.
- CVE-2026-35471Krytyczne
W goshs przed wersją 2.0.0-beta.3 funkcja tdeleteFile() nie sprawdza poprawnie ścieżki po wykryciu path traversal, co może umożliwić atakującemu dostęp do plików poza dozwolonym katalogiem.
- CVE-2026-35393Krytyczne
W goshs przed wersją 2.0.0-beta.3 katalog docelowy dla przesyłanych plików metodą POST multipart nie jest odpowiednio sanityzowany, co może umożliwić atakującemu zapis plików w dowolnej lokalizacji.
- CVE-2026-35392Krytyczne
W goshs przed wersją 2.0.0-beta.3 funkcja PUT upload w httpserver/updown.go nie sanityzuje ścieżki, co może umożliwić atakującemu zapis plików poza dozwolonym katalogiem.
- CVE-2026-50139Średnie
W goshs, prostym serwerze HTTP napisanym w Go, przed wersją 2.1.0 funkcja ShareHandler odczytuje limit pobrań tokenu pod blokadą RLock, zwalnia blokadę, serwuje plik, a następnie ponownie ją przejmuje, aby zwiększyć licznik. Współbieżne żądania odczytują ten sam stan i wszystkie przechodzą kontrolę, co pozwala przekroczyć zamierzony limit. Wersja 2.1.0 naprawia ten problem.
- CVE-2026-50138Wysokie
goshs, prosty serwer HTTP napisany w Go, nie egzekwuje flag ograniczających tryb (--read-only, --upload-only, --no-delete) na porcie WebDAV, gdy włączono WebDAV (-w). Uwierzytelniony klient WebDAV może wykonywać operacje PUT, DELETE, MKCOL, MOVE i COPY, mimo że operator tego nie chce. Problem naprawiono w wersji 2.1.0.
- CVE-2026-66064Średnie
W serwerze plików goshs przed wersją 2.1.5, w handlerze sendFile pliku httpserver/handler.go, otwieranie plików odbywało się po oczyszczeniu ścieżki, ale nazwa pliku do autoryzacji pochodziła z surowego req.URL.Path. Końcowy ukośnik mógł ominąć ochronę plików ACL .goshs i sprawdzanie listy blokad. Problem rozwiązano w wersji 2.1.5.
- CVE-2026-66063Średnie
W serwerze plików goshs przed wersją 2.1.5, handler przesyłania wieloczęściowego w httpserver/updown.go dzielił part.FileName() na /, ale nie odrzucał sekwencji .., co pozwalało nieuwierzytelnionemu atakującemu na przesłanie pliku o nazwie zawierającej .. i utworzenie pliku poza drzewem serwowanych plików. Problem rozwiązano w wersji 2.1.5.
Oryginalny opis (angielski, źródło NVD)
goshs is a SimpleHTTPServer written in Go. Prior to version 2.0.2, the PUT upload handler (httpserver/updown.go) lacks the CSRF token validation that was added to the POST upload handler during the CVE-2026-40883 fix. Combined with the unconditional Access-Control-Allow-Origin: * on the OPTIONS preflight handler (httpserver/server.go), any website can write arbitrary files to a goshs instance through the victim's browser — bypassing network isolation (e.g. localhost, internal network). This issue has been patched in version 2.0.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS