CVE-2026-35393 是 github.com/patrickhener/goshs 中的一个路径遍历漏洞。此漏洞允许攻击者通过特制的 POST multipart 上传请求，未经授权访问服务器上的文件或目录。该漏洞影响 1.1.5 之前的 goshs 版本。此问题已在版本 1.1.5-0.20260401172448-237f3af891a9 中修复。
goshs（用Go语言编写的简单HTTPServer）中的CVE-2026-35393漏洞允许攻击者将任意文件写入服务器。这是由于multipart POST上传目录中缺乏验证造成的。攻击者可以利用此漏洞上传恶意文件，例如脚本或可执行文件，这些文件随后可能由服务器执行或作为进一步攻击的跳板。潜在影响包括服务器接管、窃取敏感数据或拒绝服务。该漏洞在CVSS量表上评为9.8，表明存在严重风险。
由于goshs通常用于开发和测试环境，而这些环境中安全性可能不是首要任务，因此此漏洞尤其令人担忧。攻击者可以利用此漏洞访问敏感信息或破坏系统。漏洞的易于利用性以及goshs在不安全环境中的普及使其成为重大风险。上传目录缺乏验证允许攻击者操纵上传文件的路径，覆盖现有文件或在意外位置创建新文件。
Small to medium-sized businesses and individuals using goshs as a simple HTTP server, particularly those hosting sensitive data or running applications that rely on file uploads. Shared hosting environments that utilize goshs are also at increased risk.
• go / server: Inspect goshs server logs for POST requests with unusual filenames containing path traversal sequences (e.g., ..).
• generic web: Use curl or wget to attempt uploading files with malicious filenames containing path traversal sequences and monitor server responses and file system changes.
disclosure
漏洞利用状态
EPSS
0.11% (29% 百分位)
CISA SSVC
此漏洞的修复方法是将goshs升级到版本2.0.0-beta.3或更高版本。此版本包含修复程序，该修复程序正确验证multipart POST上传目录，从而防止写入任意文件。如果无法立即升级，请考虑实施其他安全措施，例如通过防火墙限制对服务器的访问以及监控服务器日志中是否存在可疑活动。及时应用更新对于降低漏洞利用风险至关重要。
Actualice goshs a la versión 2.0.0-beta.3 o superior para mitigar la vulnerabilidad de recorrido de ruta. Esta versión corrige la falta de saneamiento en el directorio de carga de archivos multipart POST, previniendo el acceso no autorizado a archivos.
漏洞分析和关键警报直接发送到您的邮箱。
goshs是用Go语言编写的简单HTTPServer，用于快速提供静态文件。
如果您使用的是goshs的2.0.0-beta.3之前的版本，则容易受到此漏洞的影响。
实施其他安全措施，例如防火墙和日志监控。
目前没有用于检测此漏洞的特定工具，但日志监控可以帮助识别可疑活动。
脚本（PHP、Python等）、可执行文件以及任何可以由服务器执行或用于破坏系统的其他文件。
CVSS 向量
上传你的 go.mod 文件，立即知道是否受影响。