Descripción
Una vulnerabilidad de Zip Slip en el endpoint /upload de codeskyblue gohttpserver hasta la versión v1.3.0 permite a los atacantes escribir archivos arbitrarios mediante la carga de un archivo Zip especialmente manipulado.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Referencias
- Referencia en security.snyk.iosecurity.snyk.io/research/zip-slip-vulnerability
- Referencia en github.comgithub.com/codeskyblue/gohttpserver
- Referencia en github.comgithub.com/codeskyblue/gohttpserver/issues/232
- Referencia en github.comgithub.com/Den-Sec/security-research/blob/master/advisories/gohttpser…
Ver el texto original en inglés (CVE.org)
A Zip Slip vulnerability in the /upload endpoint of codeskyblue gohttpserver through v1.3.0 allows attackers to write arbitrary files via uploading a crafted Zip archive.