PT-2026-33232 · Goshs · Goshs

R1Zzg0D · Publicado 2026-04-14 · Atualizado 2026-05-12 · CVE-2026-40883

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions goshs versões 2.0.0-beta.4 até 2.0.0-beta.5

Description o goshs contém um problema de falsificação de solicitação cross-site em suas rotas HTTP GET de alteração de estado. Um invasor externo pode fazer com que um navegador autenticado execute ações destrutivas porque o software depende exclusivamente de autenticação básica HTTP e não realiza a validação de CSRF, Origin ou Referer para essas rotas. Isso permite que uma página controlada por um invasor desencadeie mutações no sistema de arquivos via solicitações GET, especificamente através dos parâmetros ?delete e ?mkdir, que são processados pelas funções deleteFile() e handleMkdir(), respectivamente.

Recommendations Atualize para a versão 2.0.0-beta.6.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2026-40883

GHSA-JRQ5-HG6X-J6G3

Produtos afetados

Goshs

Referências · 6

• 🔥 https://github.com/patrickhener/goshs/security/advisories/GHSA-jrq5-hg6x-j6g3 · Exploit
• https://github.com/patrickhener/goshs · Nota
• https://osv.dev/vulnerability/GHSA-jrq5-hg6x-j6g3 · Aviso do Fabricante
• https://t.me/CVEtracker/52651 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-40883 · Nota de Segurança
• https://t.me/cveNotify/163264 · Publicação no Telegram