PT-2026-65626 · Goshs · Goshs

CVE-2026-66064 · Publicado 2026-07-28 · Atualizado 2026-07-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas goshs versões anteriores a 2.1.5

Description A função sendFile no arquivo httpserver/handler.go deriva incorretamente o nome do arquivo de autorização a partir do req.URL.Path bruto, enquanto abre o arquivo usando um caminho limpo. Essa discrepância permite que um invasor ignore a proteção do arquivo ACL .goshs e as verificações da lista de bloqueio ao adicionar uma barra final ao caminho da requisição, o que resulta em um nome derivado vazio. Isso pode levar à divulgação não autorizada do arquivo ACL .goshs, incluindo informações sensíveis como hashes bcrypt, ou ao acesso a arquivos explicitamente listados na lista de bloqueio.

Recommendations Atualize para a versão 2.1.5.

Correção

Incorrect Authorization

Path traversal

Enumeração de Fraquezas

CWE-863

CWE-41

CWE-22

Identificadores relacionados

CVE-2026-66064

GHSA-964W-F6GJ-5236

Produtos afetados

Goshs

Referências · 6

• https://github.com/goshs-labs/goshs/pull/222 · Nota
• https://github.com/goshs-labs/goshs/commit/f3ef599e409151d1380866e47de8b1afb0bb54fa · Nota
• https://github.com/goshs-labs/goshs/security/advisories/GHSA-964w-f6gj-5236 · Nota
• https://osv.dev/vulnerability/GHSA-964w-f6gj-5236 · Aviso do Fabricante
• https://github.com/goshs-labs/goshs · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-66064 · Nota de Segurança