goshs manque de protection en écriture pour les valeurs de données paramétriques

La vulnérabilité CVE-2026-40188 dans goshs, un SimpleHTTPServer écrit en Go, permet à un attaquant d'écrire des fichiers en dehors du répertoire racine SFTP. Cela est dû à une sanitisation insuffisante du chemin de destination dans la commande 'rename' SFTP. Les versions de goshs de 1.0.7 jusqu'à, mais sans inclure, 2.0.0-beta.4 sont vulnérables à ce problème. Un attaquant pourrait exploiter cette vulnérabilité pour modifier des fichiers système critiques ou compromettre l'intégrité des données stockées sur le serveur. La gravité de la vulnérabilité est notée 7.7 sur l'échelle CVSS, ce qui indique un risque important. L'absence de validation appropriée du chemin de destination permet la manipulation de l'emplacement des fichiers, ouvrant la voie à des attaques d'élévation de privilèges et de déni de service.

Applications built using the goshs library, particularly those handling user-supplied data or sensitive information, are at risk. This includes Go-based microservices, APIs, and command-line tools that rely on goshs for data processing. Projects using older versions of goshs (1.0.7–>= 1.0.7, < 2.0.0-beta.4) are particularly vulnerable.

• go / binary: Examine goshs library usage within Go applications. Look for instances where data is passed to goshs functions without proper validation.

// Example: Check for suspicious data manipulation
if data.ParamValue != nil && data.ParamValue.Value != nil { 
  // Validate data.ParamValue.Value before using it with goshs 
}

• generic web: Monitor application logs for unusual patterns related to data modification or unexpected behavior after data processing. • generic web: Check for unusual file modifications within the application's data directory, especially if goshs is used to manage configuration files.

1. 2026-04-10Disclosure

   disclosure

1. Réservé2026-04-09
2. Publiée2026-04-10
3. Modifiée2026-04-13
4. EPSS mis à jour2026-04-18

La solution à cette vulnérabilité consiste à mettre à niveau goshs vers la version 2.0.0-beta.4 ou ultérieure. Cette version corrige la sanitisation du chemin de destination dans la commande 'rename' SFTP, empêchant les attaquants d'écrire des fichiers en dehors du répertoire racine. Si une mise à niveau immédiate n'est pas possible, envisagez de mettre en œuvre des mesures de sécurité supplémentaires, telles que la restriction de l'accès au serveur SFTP aux utilisateurs autorisés et la surveillance du serveur pour détecter toute activité suspecte. La mise à niveau est la mesure la plus efficace pour atténuer le risque associé à cette vulnérabilité. Donnez la priorité à la mise à niveau dans les environnements de production et de développement.