CVE-2026-118264

W frameworku Echo przed wersjami 4.15.3 i 5.2.0 middleware.Static może ponownie dekodować już zdekodowaną wartość Request.URL.Path. Podwójnie zakodowane separatory mogą zostać zrekonstruowane przed rozwiązywaniem ścieżki w systemie plików, co pozwala dotrzeć do pliku chronionego przez trasę, gdy middleware statyczne jest zarejestrowane globalnie.

W frameworku Echo przed wersjami 4.16.0 i 5.4.0 statyczne handlery plików mogą normalizować segmenty kropkowe po dopasowaniu trasy i serwować plik przez publiczną trasę statyczną, mimo że bezpośrednia ścieżka jest chroniona przez middleware na poziomie trasy. Luka jest wynikiem niekompletnej poprawki dla CVE-2026-55677.

W frameworku Echo od wersji 4.0.0 do 5.1.0 Context.RealIP korzysta z wartości X-Forwarded-For lub X-Real-IP dostarczonych przez klienta, gdy Echo.IPExtractor nie jest ustawiony, a domyślny RateLimiter używa tego wyniku jako identyfikatora klienta. Atakujący może rotować wartości nagłówków, aby uzyskiwać nowe koszyki limitu i omijać ograniczenia oparte na IP.

W frameworku Echo przed wersjami 4.16.0 i 5.4.0 funkcje Context.JSONP i Context.JSONPBlob wstawiają niezwalidowaną wartość callback do odpowiedzi JavaScript. Trasa przekazująca dane kontrolowane przez atakującego jako callback może zwrócić wykonywalny skrypt, umożliwiając reflected XSS.

W frameworku Echo od wersji 4.0.0 do 5.4.0 middleware Proxy może zachować nagłówek X-Real-IP dostarczony przez atakującego i przekazać go do usługi nadrzędnej, gdy Echo.IPExtractor nie jest skonfigurowany. Zdalny klient może w ten sposób podszyć się pod adres klienta widziany przez usługi nadrzędne.

W frameworku Echo przed wersjami 4.16.0 i 5.4.0 globalnie zamontowany middleware.Static może interpretować zakodowaną ścieżkę żądania inaczej niż router. Router dopasowuje nadal zakodowaną ścieżkę, a handler statyczny używa zdekodowanego URL.Path, co może prowadzić do dostępu do plików.

W frameworku Echo (Go) middleware MethodOverride przed wersjami 4.16.0 i 5.4.0 akceptuje bezpieczną metodę HTTP jako cel nadpisania dla żądania POST. Gdy MethodOverride jest zarejestrowany przed CSRF w łańcuchu middleware po routingu, wybór trasy zachowuje oryginalny handler POST, ale nadpisanie zmienia metodę przed sprawdzeniem CSRF, co powoduje pominięcie walidacji tokenu i kontroli Sec-Fetch-Site. Exploit cross-site wymaga uwierzytelnionej ofiary i wartości nadpisania kontrolowanej przez przeglądarkę, np. gettera formularza; domyślny getter nagłówka X-HTTP-Method-Override nie jest ustawialny przez formularz cross-site.

Echo, framework webowy dla Go, w wersjach od 5.0.0 do 5.4.1 ma podatność w ExtractIPFromRealIPHeader, który waliduje nagłówek X-Real-IP podany przez klienta zamiast bezpośredniego peera sieciowego. Klient może podać adres loopback lub prywatny i uzyskać sfałszowaną tożsamość z Context.RealIP.

Echo, framework webowy dla Go, w wersjach od 5.0.0 do 5.4.1 ma podatność w middleware BodyDump, który może odrzucić błąd przekroczenia BodyLimit dla żądania o nieznanej długości, gdy limit przechwytywania BodyDump jest niższy niż próg BodyLimit. Żądanie HTTP/1.1 chunked może zostać obcięte i przetworzone mimo przekroczenia limitu.

Echo to framework webowy w Go. Od wersji 4.15.0 do 4.16.1 i 5.4.1 middleware Proxy w Echo może zatrzymywać handler, kopiować gorutyny i połączenia sieciowe po rozłączeniu klienta WebSocket, gdy upstream utrzymuje otwarte połączenie. Surowy proxy czeka na oba kierunki kopiowania bez niezawodnego zamykania połączenia peera, gdy jeden kierunek się kończy, w tym gdy odrzucona odpowiedź upgrade używa HTTP keep-alive. Powtarzane połączenia mogą gromadzić zasoby i powodować odmowę usługi, w zależności od dostępności trasy proxy, zachowania upstream i terminów połączeń. Problem naprawiono w wersjach 4.16.1 i 5.4.1.