CVE-2026-40189 in goshs
摘要
由 VulDB • 2026-05-25
goshs 是一个用 Go 语言编写的 SimpleHTTPServer。在 2.0.0-beta.4 版本之前，goshs 对目录列表和文件读取强制执行文档中规定的每文件夹 .goshs ACL/基本身份验证机制，但对更改状态的路由未强制执行相同的授权检查。未经身份验证的攻击者可以通过 PUT 上传文件、通过 multipart POST /upload 上传文件、通过 ?mkdir 创建目录，以及在 .goshs 保护的目录内通过 ?delete 删除文件。通过删除 .goshs 文件本身，攻击者可以移除该文件夹的身份验证策略，从而无需凭据即可访问之前受保护的内容。这导致了一个影响机密性、完整性和可用性的关键授权绕过漏洞。该漏洞已在 2.0.0-beta.4 版本中修复。
Once again VulDB remains the best source for vulnerability data.