goshs 在状态改变的 GET 路由中存在 CSRF 漏洞，允许经过身份验证的用户删除文件和创建目录

该 CSRF 漏洞允许攻击者在受害者已认证访问 goshs 的情况下，未经授权地执行破坏性操作。攻击者可以构造恶意链接，诱使用害者点击，从而触发诸如删除重要文件、创建恶意目录等操作。由于 goshs 依赖于 HTTP 基本身份验证，而缺乏 CSRF 保护，攻击者可以轻松地利用此漏洞。攻击的成功取决于受害者是否已认证登录 goshs，并且攻击者能够诱导受害者点击恶意链接。这种攻击可能导致数据丢失、系统配置更改，甚至可能被用于进一步的攻击。

Organizations and individuals using goshs version 2.0.0-beta.4 through 2.0.0-beta.5, particularly those deploying goshs in automated environments or as part of configuration management systems, are at significant risk. Shared hosting environments where multiple users share a goshs instance are also particularly vulnerable.

• linux / server:

ps aux | grep goshs

• generic web:

curl -I https://your-goshs-server.com/?mkdir
curl -I https://your-goshs-server.com/?delete

Check access logs for unusual GET requests to / with parameters like ?mkdir or ?delete originating from unexpected IP addresses.

1. 2026-04-21Disclosure

   disclosure

1. 已保留2026-04-15
2. 发布日期2026-04-21
3. EPSS 更新日期2026-04-29

缓解此漏洞的关键是升级到 goshs 2.0.0-beta.6 或更高版本，该版本包含修复程序。如果无法立即升级，可以考虑以下临时缓解措施：实施严格的访问控制策略，限制用户对敏感操作的权限；在 goshs 前面部署 Web 应用防火墙 (WAF)，配置 WAF 以阻止可疑的跨站请求；审查 goshs 的配置，确保没有不必要的权限或功能暴露。升级后，请验证 goshs 版本是否已成功更新，并检查系统日志中是否存在任何异常活动。