goshs : Limitation incorrecte d’un nom de chemin vers un répertoire restreint (« Path Traversal ») dans le chargement PUT de goshs

La vulnérabilité CVE-2026-35392 dans goshs permet à un attaquant distant d'écrire des fichiers arbitraires sur le serveur. Cela est dû à un manque de validation de chemin dans la fonction de téléversement PUT. Le serveur utilise directement req.URL.Path pour construire le chemin de sauvegarde, sans effectuer de sanitisation de chemin, de vérifications .. ou de confinement dans un répertoire racine web. Un attaquant peut exploiter cette vulnérabilité en envoyant une requête PUT avec un chemin malveillant contenant des séquences telles que ../, lui permettant de remplacer des fichiers en dehors du répertoire prévu. Étant donné qu'aucune authentification ni configuration spéciale n'est requise, la vulnérabilité affecte la configuration par défaut du serveur, ce qui constitue un risque important pour les systèmes exposés au réseau.

Organizations deploying goshs in production environments, particularly those without robust access controls or WAF protection, are at significant risk. Systems exposed directly to the internet or those with limited network segmentation are especially vulnerable. Shared hosting environments utilizing goshs are also at increased risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -f | grep -i 'upload' && grep -i 'path traversal'

• generic web:

curl -X PUT --data-binary @evil.txt 'http://<target>/../../../../etc/passwd'

1. 2026-04-03Disclosure

   disclosure

1. Réservé2026-04-02
2. Publiée2026-04-03
3. Modifiée2026-04-07
4. EPSS mis à jour2026-04-14

L'atténuation recommandée est de mettre à niveau goshs vers la version 1.1.5-0.20260401172448-237f3af891a9 ou ultérieure. Cette version corrige la vulnérabilité en mettant en œuvre une validation de chemin appropriée. En tant que solution de contournement temporaire, un pare-feu d'applications web (WAF) peut être mis en œuvre pour bloquer les requêtes PUT avec des chemins suspects. De plus, la restriction de l'accès au serveur goshs aux sources de confiance peut réduire le risque d'exploitation. Il est essentiel de revoir et de renforcer les politiques de sécurité du serveur pour prévenir de futurs incidents.