CVE-2026-40903

Critical(9.1)

CVE-2026-40903 — goshs ArtiPACKED GITHUB_TOKEN漏洩

公開日: 2026-05-02データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
goshs	patrickhener	< 2.0.0-beta.6

対応ガイド

high|対応必須セキュリティ修正影響: 限定的

推奨アクション

1goshsのバージョンを確認する
22.0.0-beta.6以降へアップデートする
3GitHub Actionsのアーティファクトを確認する

影響対象

goshs利用者

補足

-トークン漏洩の可能性がある場合はGITHUB_TOKENをローテーションしてください

CVEgoshsGitHub Actionsトークン漏洩

概要

Go製のSimpleHTTPServer「goshs」のバージョン2.0.0-beta.6未満において、ArtiPACKED脆弱性が存在します。この脆弱性により、ソースコードに含まれていないGITHUB_TOKENがワークフローアーティファクトを通じて漏洩する可能性があります。

CVSSベクトル

項目	値
CVSSスコア	9.1（Critical）
CWE	CWE-829（信頼されない制御領域からの機能の包含）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
必要な特権レベル	不要
ユーザー関与	不要

影響を受けるソフトウェア

製品	ベンダー	影響バージョン	修正バージョン
goshs	patrickhener	2.0.0-beta.6未満	2.0.0-beta.6

修正バージョンと回避策

goshs 2.0.0-beta.6以降へアップデートしてください
GitHub Actionsのワークフローアーティファクトにシークレットが含まれていないことを確認してください

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-40903

GitHub Advisory:https://github.com/patrickhener/goshs/security/advisories/GHSA-hpxj-9fgp-fhhf

Xでシェアはてブ

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。