CVE-2026-40189 in goshs
Riassunto
di VulDB • 14/06/2026
goshs è un SimpleHTTPServer scritto in Go. Prima della versione 2.0.0-beta.4, goshs applica il meccanismo di autorizzazione documentato basato su ACL/basic-auth per le directory (.goshs) durante l'elenco delle directory e la lettura dei file, ma non impone gli stessi controlli di autorizzazione sulle rotte che modificano lo stato. Un attaccante non autenticato può caricare file tramite PUT, caricare file mediante POST multipart /upload, creare directory utilizzando ?mkdir ed eliminare file con ?delete all'interno di una directory protetta da .goshs. Eliminando il file .goshs stesso, l'attaccante può rimuovere la policy di autorizzazione della cartella e accedere successivamente ai contenuti precedentemente protetti senza credenziali. Ciò comporta un bypass critico dell'autorizzazione che influisce su riservatezza, integrità e disponibilità. Questa vulnerabilità è risolta nella versione 2.0.0-beta.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.