CVE-2026-50139

Nome do Software Vulnerável e Versões Afetadas goshs versões anteriores a 2.0.10

Description Existe uma condição de corrida (race condition) no ShareHandler ao processar resgates de links de compartilhamento. O sistema lê o DownloadLimit de um token de compartilhamento usando um bloqueio de leitura (read lock), libera-o para servir o arquivo e, somente então, adquire um bloqueio de gravação (write lock) para incrementar o contador de downloads. Isso permite que múltiplas requisições simultâneas leiam a mesma captura do limite e passem na verificação ao mesmo tempo, permitindo que os usuários excedam o limite de download pretendido. Este problema é acionado através do parâmetro ?token= no endpoint de link de compartilhamento.

Recommendations Atualize para uma versão posterior à 2.0.9. Como mitigação temporária, evite usar o recurso DownloadLimit para segredos únicos altamente sensíveis até que o software seja atualizado.