¿Qué es la vulnerabilidad CVE-2026-120444 en GoFound?
CVE-2026-120444 es una vulnerabilidad de salto de directorio (path traversal) de alta gravedad que afecta a GoFound hasta la versión 1.4.1. Este fallo permite que atacantes no autenticados eliminen directorios arbitrarios suministrando secuencias../ en el parámetro de base de datos.
El problema se desencadena cuando se envían peticiones GET a los endpoints /api/db/create y /api/db/drop, ya sea de forma directa o a través del navegador de una víctima, invocando operaciones destructivas en el sistema de archivos analizamos la vulnerabilidad crítica.
¿A quién afecta este fallo de seguridad?
La vulnerabilidad afecta a todos los despliegues que utilicen versiones de GoFound hasta la 1.4.1 y expongan sus interfaces de programación de aplicaciones a redes no confiables. Al no requerir autenticación previa, cualquier usuario externo con acceso HTTP puede intentar la ejecución.
Este tipo de fallos de validación de entradas guardan similitudes con incidentes reportados en otros ecosistemas, tales como la vulnerabilidad crítica CVSS 8.4 donde los controles de permisos insuficientes amplifican el impacto operativo.
¿Por qué se produce la eliminación de directorios?
El comportamiento inseguro surge en el código interno del motor de búsqueda cuando procesa parámetros de control de bases de datos. La presencia de rutas relativas no filtradas provoca que la función os.RemoveAll actúe fuera del directorio de datos designado.
Contextos similares de fallos por omisión y control de privilegios se han analizado previamente al estudiar la vulnerabilidad crítica con CVSS 8.4, evidenciando la importancia de validar de forma estricta cualquier ruta recibida.
¿Cómo me protejo frente a esta vulnerabilidad?
Mitigar este riesgo requiere aplicar restricciones de acceso estrictas y supervisar el tráfico web dirigido a los componentes de administración del motor de búsqueda.
Se recomienda encarecidamente revisar la topología de red y aplicar capas de filtrado adicionales mientras se evalúan las actualizaciones de seguridad disponibles.
- Intercale un proxy inverso o WAF que bloquee de forma proactiva cualquier petición HTTP que contenga secuencias de path traversal.
- Restrinja el acceso a los endpoints /api/db/create y /api/db/drop permitiendo únicamente conexiones desde redes internas de confianza.
- Ejecute el servicio GoFound con un usuario del sistema que posea privilegios mínimos sobre el almacenamiento y los directorios del host.
- Audite periódicamente los registros de acceso en busca de peticiones sospechosas dirigidas al parámetro de base de datos.