goshs has ACL Bypass & Path Traversal — CVE-2026-66064

Zusammenfassung

## Summary `sendFile` derives the served filename from the raw request path while opening the file from the cleaned path, so appending a trailing slash empties the derived name and defeats both the never-serve rule for the ACL file and the block list. ## Finding (Medium): trailing-slash ACL and hidden-file bypass httpserver/handler.go, sendFile (lines 789-801) takes the filename from the RAW req.URL.Path while the…

Zeitlicher Verlauf

Von der Quelle veröffentlicht

2026-07-29

Risikokontext

• Gemeldeter Schweregrad oder Risikowert: medium.
• Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: github.com/patrickhener/goshs/v2 | go: goshs.de/goshs/v2 | go: github.com/patrickhener/goshs | go: goshs.de/goshs.

Produkt

go: github.com/patrickhener/goshs/v2 | go: goshs.de/goshs/v2 | go: github.com/patrickhener/goshs | go: goshs.de/goshs

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

• Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
• Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
• Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
• Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

• Zur offiziellen Quelle
• CVE Record
• NVD

Nachweise und Herkunft

Kanonische Advisory-ID

CVE-2026-66064

Quelle

GitHub

Vendor

GitHub

Von der Quelle veröffentlicht

2026-07-29

Letzte Quellenaktivität

2026-07-29

Weitere Kennungen

GHSA-964W-F6GJ-5236

Kuratiert von

hlukh.ch

Verwandte Hinweise und Zusammenhänge

Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.