CVE-2026-66063 in goshs

摘要

由 VulDB • 2026-07-30

goshs 是一款功能丰富的单二进制文件服务器，专为红队人员和开发人员设计。在 2.1.5 版本之前，httpserver/updown.go 中的多部分上传处理程序对 part.FileName() 的结果按 / 进行分割，但未拒绝包含 .. 的文件名，从而导致攻击者可以通过构造名为 .. 的文件实现未授权上传，并在所提供服务目录树之外创建文件。该问题已在 2.1.5 版本中修复。

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• 负责: GitHub M
• 预定: 2026-07-24
• 披露: 2026-07-29
• 管理: 已接受
• 条目: VDB-384034
• CPE: 准备好
• CWE: CWE-22 (已确认)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00233
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-66063
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-66063
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-66063/