CVE-2026-40885
Açıklama
goshs, Go ile yazılmış bir SimpleHTTPServer'dır. 2.0.0-beta.4 ile 2.0.0-beta.5 sürümleri arasında goshs, sunucu genel temel kimlik doğrulama (global basic auth) olmadan konuşlandırıldığında, herkese açık iş birlikçi beslemesi üzerinden dosya tabanlı ACL kimlik bilgilerini sızdırmaktadır. .goshs-protected klasörlerine gelen istekler, yetkilendirme uygulanmadan önce günlüğe kaydedilmekte ve iş birlikçi websocket'i, Authorization başlığı da dahil olmak üzere ham istek başlıklarını yayınlamaktadır. Kimliği doğrulanmamış bir gözlemci, kurbanın klasöre özel basic-auth başlığını yakalayabilir ve korumalı alt ağaçtaki dosyaları okumak, yüklemek, üzerine yazmak ve silmek için bu başlığı yeniden kullanabilir. Bu güvenlik açığı 2.0.0-beta.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/patrickhener/goshs/v22.0.0-beta.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| goshs goshs | 2.0.0 | — |
| github.com/patrickhener/goshs/v2Go | 2.0.0-beta.4 ≤ v < 2.0.0-beta.6 | 2.0.0-beta.6 |
| github.com/patrickhener/goshsGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.