goshs: goshs PUT अपलोड में एक प्रतिबंधित निर्देशिका ('पाथ ट्रैवर्सल') में पाथनाम की अनुचित सीमा

goshs में CVE-2026-35392 एक दूरस्थ हमलावर को सर्वर पर मनमाना फ़ाइलें लिखने की अनुमति देता है। यह PUT अपलोड फ़ंक्शन में पथ सत्यापन की कमी के कारण है। सर्वर सीधे req.URL.Path का उपयोग करके सहेजने वाले पथ का निर्माण करता है, बिना किसी पथ सैनिटाइजेशन, .. जांच या वेब रूट कंटेनमेंट के। एक हमलावर इस भेद्यता का फायदा उठाकर ../ जैसे अनुक्रमों वाली दुर्भावनापूर्ण पथ के साथ PUT अनुरोध भेज सकता है, जिससे उन्हें इच्छित निर्देशिका के बाहर फ़ाइलों को अधिलेखित करने की अनुमति मिलती है। चूंकि किसी प्रमाणीकरण या विशेष कॉन्फ़िगरेशन की आवश्यकता नहीं है, इसलिए यह भेद्यता सर्वर के डिफ़ॉल्ट कॉन्फ़िगरेशन को प्रभावित करती है, जो उजागर सिस्टम के लिए एक महत्वपूर्ण जोखिम है।

Organizations deploying goshs in production environments, particularly those without robust access controls or WAF protection, are at significant risk. Systems exposed directly to the internet or those with limited network segmentation are especially vulnerable. Shared hosting environments utilizing goshs are also at increased risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -f | grep -i 'upload' && grep -i 'path traversal'

• generic web:

curl -X PUT --data-binary @evil.txt 'http://<target>/../../../../etc/passwd'

1. 2026-04-03Disclosure

   disclosure

1. आरक्षित2026-04-02
2. प्रकाशित2026-04-03
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-14

अनुशंसित शमन goshs को संस्करण 1.1.5-0.20260401172448-237f3af891a9 या बाद के संस्करण में अपडेट करना है। यह संस्करण उचित पथ सत्यापन को लागू करके भेद्यता को ठीक करता है। एक अस्थायी समाधान के रूप में, संदिग्ध पथों वाले PUT अनुरोधों को ब्लॉक करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) को लागू किया जा सकता है। इसके अतिरिक्त, goshs सर्वर तक पहुंच को विश्वसनीय स्रोतों तक सीमित करने से शोषण का जोखिम कम हो सकता है। भविष्य की घटनाओं को रोकने के लिए सर्वर सुरक्षा नीतियों की समीक्षा और मजबूत करना महत्वपूर्ण है।