goshs は、ステート変更 GET ルートに CSRF を持ち、認証済みユーザーによるファイル削除とディレクトリ作成を可能にする

このCSRF脆弱性を悪用されると、攻撃者は認証済みのユーザーのセッションを利用して、goshsサーバー上で破壊的な操作を実行できます。具体的には、?deleteパラメータを使用してファイルを削除したり、?mkdirパラメータを使用してディレクトリを作成したりすることが可能です。攻撃者は、悪意のあるウェブサイトやメールにリンクを埋め込むことで、ユーザーが意図せず脆弱なエンドポイントにアクセスするように誘導できます。この脆弱性は、特に共有ホスティング環境や、goshsを公開サーバー上で実行している場合に、深刻な影響を及ぼす可能性があります。攻撃者は、認証情報を盗むことなく、サーバー上のデータを改ざんしたり、削除したりする可能性があります。

Organizations and individuals using goshs version 2.0.0-beta.4 through 2.0.0-beta.5, particularly those deploying goshs in automated environments or as part of configuration management systems, are at significant risk. Shared hosting environments where multiple users share a goshs instance are also particularly vulnerable.

• linux / server:

ps aux | grep goshs

• generic web:

curl -I https://your-goshs-server.com/?mkdir
curl -I https://your-goshs-server.com/?delete

Check access logs for unusual GET requests to / with parameters like ?mkdir or ?delete originating from unexpected IP addresses.

1. 2026-04-21Disclosure

   disclosure

1. 予約済み2026-04-15
2. 公開日2026-04-21
3. EPSS 更新日2026-04-29

この脆弱性への主な対策は、goshsをバージョン2.0.0-beta.6にアップデートすることです。アップデートがすぐに利用できない場合は、HTTP Basic認証に加えて、CSRFトークンやOriginヘッダーの検証を実装することで、脆弱性を軽減できます。WAF（Web Application Firewall）を導入し、悪意のあるリクエストをブロックすることも有効です。また、アクセスログを監視し、不審なリクエストを検出することも重要です。アップデート後、goshs --versionコマンドを実行して、バージョンが正しく更新されていることを確認してください。