CVE-2026-54719 Goshs-Labs — эксплойт и детали уязвимости HIGH

CVE-2026-54719

HIGH CVSS 3.1: 7,5 EPSS 0.28%

Параметр	Значение
CVSS	7,5 (HIGH)
Устранено в версии	2.1.1
Тип уязвимости	CWE-863 (Неправильная авторизация), CWE-862 (Отсутствие авторизации)
Поставщик	Goshs-Labs
Публичный эксплойт	Нет

goshs — это многофункциональный однодвоичный файловый сервер для Red Teams и разработчиков. До версии 2.1.1 обработчик httpserver/updown.go BulkDownload для загрузок ?bulk&file= ZIP не вызывал findEffectiveACL или applyCustomAuth, что позволяло неаутентифицированное чтение файлов, защищенных только списками ACL и списками блокировки папок .goshs. Эта проблема исправлена в версии 2.1.1.

Эта уязвимость существует из-за неполного исправления CVE-2026-40189.

Показать оригинальное описание (EN)

goshs is a feature-rich single-binary file server for red teamers and developers. Prior to 2.1.1, the httpserver/updown.go bulkDownload handler for ?bulk&file= ZIP downloads did not call findEffectiveACL or applyCustomAuth, allowing unauthenticated reads of files protected only by .goshs folder ACLs and block lists. This issue is fixed in version 2.1.1. This vulnerability exists due to an incomplete fix for CVE-2026-40189.