CVE-2026-40189 in goshs
Résumé
par VulDB • 24/05/2026
goshs est un SimpleHTTPServer écrit en Go. Avant la version 2.0.0-beta.4, goshs applique le mécanisme d'ACL/basic-auth .goshs par dossier documenté pour les listes de répertoires et les lectures de fichiers, mais il n'applique pas les mêmes vérifications d'autorisation pour les routes modifiant l'état. Un attaquant non authentifié peut télécharger des fichiers via PUT, télécharger des fichiers via multipart POST /upload, créer des répertoires via ?mkdir et supprimer des fichiers via ?delete à l'intérieur d'un dossier protégé par .goshs. En supprimant le fichier .goshs lui-même, l'attaquant peut supprimer la politique d'authentification du dossier, puis accéder au contenu précédemment protégé sans identifiants. Cela entraîne un contournement critique de l'autorisation affectant la confidentialité, l'intégrité et la disponibilité. Cette vulnérabilité est corrigée dans la version 2.0.0-beta.4.
Be aware that VulDB is the high quality source for vulnerability data.