goshs: goshs PUT 上传中对路径名的限制不当（'Path Traversal'）

该路径遍历漏洞允许攻击者绕过任何身份验证和授权机制，直接访问服务器文件系统。攻击者可以通过精心构造的 HTTP PUT 请求，将目标文件路径包含在请求的 URL 中，利用 req.URL.Path 未经清理的特性。成功利用此漏洞可能导致敏感信息泄露，例如配置文件、源代码、数据库凭据等。更严重的后果包括攻击者完全控制服务器，执行恶意代码，或破坏系统数据。由于该漏洞无需身份验证，攻击面非常广阔，潜在影响巨大。

Organizations deploying goshs in production environments, particularly those without robust access controls or WAF protection, are at significant risk. Systems exposed directly to the internet or those with limited network segmentation are especially vulnerable. Shared hosting environments utilizing goshs are also at increased risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -f | grep -i 'upload' && grep -i 'path traversal'

• generic web:

curl -X PUT --data-binary @evil.txt 'http://<target>/../../../../etc/passwd'

1. 2026-04-03Disclosure

   disclosure

1. 已保留2026-04-02
2. 发布日期2026-04-03
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-14

最有效的缓解措施是立即将 gosh 升级至 1.1.5-0.20260401172448-237f3af891a9 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：在 Web 服务器层配置访问控制规则，限制对 PUT /<path> 接口的访问；实施严格的文件访问权限控制，确保应用程序只能访问必要的文件；监控服务器日志，查找可疑的 PUT 请求，并及时响应。升级后，请验证文件上传功能是否正常工作，确认漏洞已成功修复。