goshs: Limitación Inadecuada de una Ruta a un Directorio Restringido (Path Traversal)

Un atacante puede explotar esta vulnerabilidad enviando una solicitud HTTP maliciosa al endpoint /delete?delete. La función deleteFile en httpserver/handler.go no retorna después de verificar la presencia de .. en la ruta, lo que permite la manipulación de la ruta y el acceso a archivos fuera del directorio previsto. Esto podría resultar en la exposición de información confidencial como archivos de configuración, claves API o incluso código fuente. La falta de autenticación agrava el impacto, ya que cualquier usuario puede explotar la vulnerabilidad. La severidad CRÍTICA (CVSS 9.8) refleja el potencial de acceso no autorizado a datos sensibles y la facilidad de explotación.

Organizations running goshs in production environments, particularly those with exposed file sharing services, are at significant risk. Shared hosting environments where multiple users share the same goshs instance are especially vulnerable, as an attacker could potentially exploit the vulnerability to access files belonging to other users. Systems with legacy goshs configurations lacking proper access controls are also at increased risk.

• linux / server:

journalctl -u goshs | grep -i "path traversal"

• generic web:

curl -I http://your-goshs-server/delete?delete=../../../../etc/passwd

Check the response headers and body for any signs of file access or errors indicating path traversal. • generic web:

 grep -r "filepath.FromSlash" /path/to/goshs/source/code

Look for instances of filepath.FromSlash that might be vulnerable to path traversal.

1. 2026-04-03Disclosure

   disclosure

1. Reservado2026-04-02
2. Publicada2026-04-03
3. Modificada2026-04-07
4. EPSS actualizado2026-04-14

La mitigación principal es actualizar a la versión corregida de goshs, 1.1.5-0.20260401172448-237f3af891a9. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Esto incluye restringir el acceso al endpoint /delete a través de un firewall de aplicaciones web (WAF) o un proxy inverso, configurando reglas para bloquear solicitudes que contengan secuencias de .. en la ruta. Además, se debe revisar y endurecer la configuración del servidor para limitar los permisos de acceso a los archivos y directorios. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que las solicitudes con rutas maliciosas sean rechazadas.