goshs présente une vulnérabilité CSRF dans les routes GET modifiant l'état, permettant la suppression de fichiers et la création de répertoires authentifiés

Un attaquant peut exploiter cette vulnérabilité CSRF en créant une requête HTTP malveillante, par exemple un lien ou une image, que l'utilisateur authentifié est amené à cliquer ou à charger. Si l'utilisateur est connecté à goshs et interagit avec cette requête, l'attaquant peut exécuter des actions destructives en son nom. Cela peut inclure la suppression de fichiers importants, la création de nouveaux répertoires, ou la modification de la configuration de goshs. L'impact potentiel est élevé, car un attaquant peut compromettre l'intégrité du système et potentiellement prendre le contrôle de certaines fonctionnalités.

Organizations and individuals using goshs version 2.0.0-beta.4 through 2.0.0-beta.5, particularly those deploying goshs in automated environments or as part of configuration management systems, are at significant risk. Shared hosting environments where multiple users share a goshs instance are also particularly vulnerable.

• linux / server:

ps aux | grep goshs

• generic web:

curl -I https://your-goshs-server.com/?mkdir
curl -I https://your-goshs-server.com/?delete

Check access logs for unusual GET requests to / with parameters like ?mkdir or ?delete originating from unexpected IP addresses.

1. 2026-04-21Disclosure

   disclosure

1. Réservé2026-04-15
2. Publiée2026-04-21
3. EPSS mis à jour2026-04-29

La mitigation principale consiste à mettre à jour goshs vers la version 2.0.0-beta.6 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de renforcer la sécurité des routes sensibles en ajoutant une validation CSRF. Cela peut impliquer l'utilisation de tokens CSRF, la vérification de l'en-tête Origin ou Referer, ou la mise en œuvre d'une authentification plus robuste. En attendant la mise à jour, il est conseillé de limiter l'accès aux routes sensibles et de sensibiliser les utilisateurs aux risques liés aux clics sur des liens suspects. Après la mise à jour, vérifiez que les routes sensibles nécessitent une authentification forte et qu'aucune requête non autorisée ne peut être exécutée.