PT-2026-65622
CVE-2026-54719
·
تاريخ النشر
2026-07-28
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات goshs الأقدم من 2.1.1
الوصف
يفشل معالج
bulkDownload الموجود في httpserver/updown.go في استدعاء findEffectiveACL أو applyCustomAuth عند معالجة تنزيلات ملفات ZIP عبر المعلمة ?bulk&file=. وهذا يسمح لمهاجم شبكة غير مصدق عليه بقراءة الملفات الموجودة ضمن جذر الويب (webroot) والمحمية حصريًا بقوائم التحكم في الوصول (ACLs) لمجلد .goshs أو قوائم الحظر. تحدث هذه المشكلة لأن المعلمة ?bulk يتم توجيهها عبر earlyBreakParameters قبل تنفيذ تدفق المصادقة القياسي، مما يؤدي إلى تجاوز كل من مصادقة المجلد وقوائم الحظر لكل ملف على حدة.التوصيات
قم بالتحديث إلى الإصدار 2.1.1.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى المعلمة
?bulk في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾