goshs: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') in goshs POST multipart upload

Die CVE-2026-35393-Schwachstelle in goshs, einem einfachen HTTPServer, der in Go geschrieben ist, ermöglicht es einem Angreifer, beliebige Dateien auf dem Server zu schreiben. Dies ist auf einen Mangel an Validierung im Multipart-POST-Upload-Verzeichnis zurückzuführen. Ein Angreifer könnte diese Schwachstelle ausnutzen, um bösartige Dateien wie Skripte oder ausführbare Dateien hochzuladen, die dann vom Server ausgeführt werden oder als Ausgangspunkt für weitere Angriffe dienen könnten. Der potenzielle Schaden umfasst die Übernahme des Servers, den Diebstahl sensibler Daten oder eine Dienstverweigerung. Die Schwere der Schwachstelle wird mit 9,8 auf der CVSS-Skala bewertet, was ein kritisches Risiko anzeigt.

Small to medium-sized businesses and individuals using goshs as a simple HTTP server, particularly those hosting sensitive data or running applications that rely on file uploads. Shared hosting environments that utilize goshs are also at increased risk.

• go / server: Inspect goshs server logs for POST requests with unusual filenames containing path traversal sequences (e.g., ..). • generic web: Use curl or wget to attempt uploading files with malicious filenames containing path traversal sequences and monitor server responses and file system changes.

1. 2026-04-06Disclosure

   disclosure

1. Reserviert2026-04-02
2. Veröffentlicht2026-04-06
3. Geändert2026-04-08
4. EPSS aktualisiert2026-04-14

Die Behebung dieser Schwachstelle besteht darin, goshs auf Version 2.0.0-beta.3 oder höher zu aktualisieren. Diese Version enthält eine Korrektur, die das Multipart-POST-Upload-Verzeichnis ordnungsgemäß validiert und so das Schreiben beliebiger Dateien verhindert. Wenn ein sofortiges Update nicht möglich ist, sollten Sie zusätzliche Sicherheitsmaßnahmen ergreifen, z. B. den Zugriff auf den Server über Firewalls einschränken und die Serverprotokolle auf verdächtige Aktivitäten überwachen. Die zeitnahe Anwendung des Updates ist entscheidend, um das Risiko einer Ausnutzung zu mindern.