CVE-2026-40883goshs是一款用Go语言编写的简易HTTP服务器。在2.0.0-beta.4至2.0.0-beta.5版本中，系统存在严重的跨站请求伪造（CSRF）安全漏洞。由于该软件在处理涉及状态变更的HTTP GET请求（如文件删除、目录创建）时，仅依赖HTTP基础认证，且未实施CSRF令牌或来源验证机制，攻击者可诱导已登录用户访问恶意链接。一旦用户触发，服务器将执行破坏性指令，导致数据丢失或完整性受损。该问题已在2.0.0-beta.6版本中修复。
该漏洞的核心成因在于goshs未能对敏感的状态改变操作实施充分的请求来源验证。尽管应用使用了HTTP Basic Auth来限制访问权限，但浏览器会自动对同一域名的请求附带Authorization头。攻击者利用这一特性，通过构建恶意HTML页面（如包含<img>标签或隐藏的iframe），将带有敏感参数（如?delete=path或?mkdir=path）的GET请求指向受害者的goshs服务器。当已认证的管理员无意间访问攻击者构造的页面时，浏览器将在后台自动发送这些请求。goshs服务端接收到请求后，验证Basic Auth凭证有效，但由于缺乏对Referer头或CSRF Token的检查，误以为是合法的管理员操作，进而执行文件系统操作。这种利用方式无需用户交互即可在后台触发（仅需加载页面），严重威胁服务器的数据完整性和可用性。