What is CVE-2026-50138?
In goshs prior to version 2.1.0, when WebDAV is enabled (`-w`), the mode restrictions like `--read-only`, `--upload-only`, and `--no-delete` are only enforced on the main HTTP port. The WebDAV port bypasses these restrictions, potentially allowing unauthorized file operations. Users should upgrade to version 2.1.0.
Azərbaycanca: goshs proqramında WebDAV aktiv olduqda (`-w` bayrağı ilə işə salındıqda), `--read-only`, `--upload-only` və `--no-delete` kimi rejim məhdudiyyətləri yalnız əsas HTTP portuna tətbiq olunur. WebDAV portu bu məhdudiyyətləri nəzərə almır, bu da icazəsiz fayl əməliyyatlarına səbəb ola bilər. İstifadəçilər 2.1.0 versiyasına yeniləməlidir.
Related CVEs
link basis: same weakness class CWE-862
FAQ2
How can mode restrictions like `--read-only` be bypassed in goshs when WebDAV is enabled?
In versions of goshs prior to 2.1.0, when WebDAV is enabled with the `-w` flag, restrictions such as `--read-only`, `--upload-only`, and `--no-delete` are only enforced on the main HTTP port. The WebDAV port ignores these restrictions, potentially allowing unauthorized file operations.
What step should be taken to remediate CVE-2026-50138?
Users should upgrade goshs to version 2.1.0.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.