CVE-2026-40188: goshs — Katalog CVE

csirt@kutim:~/threat-intel/cve/CVE-2026-40188

CVSS 7.7 · High EPSS 0,39%

Kerentanan Missing Write Protection for Parametric Data Values pada goshs. Skor CVSS 3.1 7.7 (High) menurut github.com.

Deskripsi (NVD)

goshs is a SimpleHTTPServer written in Go. From 1.0.7 to before 2.0.0-beta.4, the SFTP command rename sanitizes only the source path and not the destination, so it is possible to write outside of the root directory of the SFTP. This vulnerability is fixed in 2.0.0-beta.4.

Rincian

Terbit di NVD: 10 April 2026
Terakhir diubah: 17 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 7.7 (High), sumber github.com
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-1314: Missing Write Protection for Parametric Data Values
EPSS (30 hari): 0,39% peluang dieksploitasi; lebih tinggi dari 31,0% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
goshs	goshs	Versi 1.0.7 hingga sebelum 2.0.0
goshs	goshs	Versi 2.0.0 beta1
goshs	goshs	Versi 2.0.0 beta2
goshs	goshs	Versi 2.0.0 beta3

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/patrickhener/goshs/security/advisories/GHSA-2943-crp8-38xx exploit · advisory vendor
https://github.com/patrickhener/goshs/commit/141c188ce270ffbec087844a50e5e695b7da7744 patch
https://github.com/patrickhener/goshs/releases/tag/v2.0.0-beta.4 product · release notes

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.