goshs tem uma bypass de autorização baseada em arquivo em rotas de mudança de estado do goshs

A vulnerabilidade CVE-2026-40189 no goshs permite que um atacante não autenticado realize ações de modificação de estado dentro de diretórios protegidos por um arquivo .goshs. Embora o goshs implemente corretamente a autenticação básica e os ACLs para listar diretórios e ler arquivos, não aplica as mesmas restrições às rotas que modificam o estado do servidor, como uploads de arquivos (PUT, multipart POST /upload), criação de diretórios (?mkdir) e exclusão de arquivos (?delete). A gravidade desta vulnerabilidade é classificada como 9.8 na escala CVSS, indicando um risco crítico. Um atacante pode comprometer a integridade dos dados armazenados no servidor goshs e, ao excluir o arquivo .goshs em si, desativar completamente a proteção do diretório.

Organizations using goshs for directory listing and file serving, particularly those relying on the .goshs file for authentication, are at risk. Shared hosting environments where multiple users share a goshs instance are especially vulnerable, as an attacker could potentially compromise the entire hosting environment.

• linux / server:

journalctl -u goshs -g 'file upload' | grep -i unauthorized

• generic web:

curl -I <goshs_endpoint>/?delete
curl -I <goshs_endpoint>/upload

• generic web:

 grep -i 'unauthorized access' <access_logs>

1. 2026-04-10Disclosure

   disclosure

1. Reservado2026-04-09
2. Publicada2026-04-10
3. Modificada2026-04-15
4. EPSS atualizado2026-04-18

A principal mitigação para CVE-2026-40189 é atualizar o goshs para a versão 2.0.0-beta.4 ou superior. Esta versão corrige a falta de validação de autorização em rotas de modificação de estado. Até que a atualização seja realizada, recomenda-se desativar temporariamente as funções de upload, criação e exclusão dentro de diretórios protegidos por .goshs. Também é crucial revisar e fortalecer as políticas de segurança do servidor, incluindo a configuração de firewalls e sistemas de detecção de intrusões para monitorar e bloquear atividades suspeitas. A atualização deve ser realizada o mais rápido possível para minimizar o risco de exploração.