CVE-2026-50138

WysokieCVSS 8.1

Opublikowano: 18/08/2026(UTC)Zaktualizowano: 19/08/2026(UTC)Przetłumaczono: 18/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

goshs, prosty serwer HTTP napisany w Go, nie egzekwuje flag ograniczających tryb (--read-only, --upload-only, --no-delete) na porcie WebDAV, gdy włączono WebDAV (-w). Uwierzytelniony klient WebDAV może wykonywać operacje PUT, DELETE, MKCOL, MOVE i COPY, mimo że operator tego nie chce. Problem naprawiono w wersji 2.1.0.

Ocena ryzyka

Operatorzy mogą nieświadomie zezwolić na modyfikację lub usunięcie plików przez WebDAV, co może prowadzić do nieautoryzowanych zmian lub utraty danych.

Rekomendacja

Zaktualizuj goshs do wersji 2.1.0 lub nowszej, aby zapewnić spójne egzekwowanie ograniczeń na wszystkich portach.

Oryginalny opis (angielski, źródło NVD)

goshs is a SimpleHTTPServer written in Go. Prior to version 2.1.0, when `goshs` is launched with WebDAV enabled (`-w`), the mode-restriction flags `--read-only`, `--upload-only`, and `--no-delete` are enforced only on the primary HTTP port. The WebDAV port is wired straight to `golang.org/x/net/webdav.Handler` with no equivalent guard, so an authenticated WebDAV client can `PUT`, `DELETE`, `MKCOL`, `MOVE`, and `COPY` despite the operator's stated intent. Version 2.1.0 patches the issue.