CVE-2026-40903 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：goshs 存在 **ArtiPACKED** 问题。 💥 **后果**：导致 **GITHUB_TOKEN** 通过工作流构件意外泄露。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-829（**不信任的回调** / Untrusted Callback）。
Q3影响谁？（版本/组件）
📦 **组件**：goshs (Go 编写的简单 HTTP Server)。 👤 **厂商**：patrickhener。 📉 **版本**：**2.0.0-beta.6 之前**的所有版本。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：窃取敏感凭证。 🔑 **具体数据**：**GITHUB_TOKEN** 泄露，可能引发后续供应链攻击。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。 📊 **CVSS**：AV:N/AC:L/PR:N/UI:N（网络攻击、低复杂度、无需权限/交互）。
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exp/PoC**：当前数据中 **无** 现成 PoC 或公开在野利用报告。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：检查是否使用 **goshs** 且版本 **< 2.0.0-beta.6**。 📝 **关注点**：CI/CD 工作流中是否暴露构件。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：已发布安全公告。 🔗 **参考**：[GHSA-hpxj-9fgp-fhhf](https://github.com/patrickhener/goshs/security/advisories/GHSA-hpxj-9fgp-fhhf)。
Q9没补丁咋办？（临时规避）
⚠️ **临时规避**：升级至 **2.0.0-beta.6 或更高** 版本。 🚫 **建议**：避免在旧版本中处理敏感工作流构件。
Q10急不急？（优先级建议）
🔥 **优先级**：**高**。 💡 **理由**：CVSS 评分高（C:H/I:H），直接涉及 **GitHub 令牌泄露**，风险极大。