CVE-2026-40884 — 神龙十问 AI 深度分析摘要
CVSS 9.8 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：goshs 的访问控制逻辑存在缺陷。 🔥 **后果**：攻击者无需密码即可直接访问 SFTP 服务，完全绕过身份验证。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE**：CWE-306（缺少身份验证）。 🔍 **缺陷点**：当使用文档中记录的**空用户名**进行 Basic Auth 时，SFTP 密码处理程序未正确安装或生效。
Q3影响谁？（版本/组件）
📦 **组件**：goshs (Go 编写的简单 HTTP Server)。 🏷️ **厂商**：Patrick Hener。 📉 **受影响版本**：**2.0.0-beta.6 之前**的所有版本。
Q4黑客能干啥？（权限/数据）
👮 **权限**：未经身份验证的网络访问权限。 📂 **数据**：可读取、修改或删除 SFTP 服务上的所有文件（CVSS 评分显示 C:H/I:H/A:H，即机密性、完整性、可用性均受高影响）。
Q5利用门槛高吗？（认证/配置）
🚪 **门槛**：**极低**。 🔑 **认证**：无需任何凭证。 ⚙️ **配置**：利用空用户名 Basic Auth 语法即可触发，无需特殊配置。
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exp/PoC**：数据中未提供现成 PoC 代码。 🌍 **在野利用**：暂无公开在野利用报告。 🔗 **参考**：详见 GitHub Security Advisory。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**： 1. 检查 goshs 版本是否 < 2.0.0-beta.6。 2. 扫描 SFTP 端口，尝试使用**空用户名**进行 Basic Auth 连接。 3. 观察是否无需密码即可建立会话。
Q8官方修了吗？（补丁/缓解）
🛠️ **官方修复**：已发布安全公告 (GHSA-c29w-qq4m-2gcv)。 💊 **补丁**：升级至 **2.0.0-beta.6 或更高版本**即可修复此漏洞。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级**：尽快升级到修复版本。 2. **网络隔离**：限制 SFTP 端口的公网访问，仅允许信任 IP。 3. **禁用空用户名**：在配置层面禁止使用空用户名进行认证。
Q10急不急？（优先级建议）
⚡ **优先级**：**紧急 (Critical)**。 📊 **理由**：CVSS 3.1 满分风险（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H），无需认证即可导致数据完全泄露和控制权丧失。