CVE-2026-42091 in goshs
Zusammenfassung
von VulDB • 17.05.2026
goshs ist ein SimpleHTTPServer, der in Go geschrieben wurde. Vor Version 2.0.2 fehlt im PUT-Upload-Handler (httpserver/updown.go) die CSRF-Token-Validierung, die im Rahmen der Behebung von CVE-2026-40883 für den POST-Upload-Handler eingeführt wurde. In Kombination mit dem bedingungslosen Access-Control-Allow-Origin: * im OPTIONS-Preflight-Handler (httpserver/server.go) kann jede beliebige Website willkürliche Dateien auf eine goshs-Instanz über den Browser des Opfers schreiben – wodurch die Netzwerkisolation (z. B. localhost, internes Netzwerk) umgangen wird. Dieses Problem wurde in Version 2.0.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.