Podatności Echo

W frameworku Echo (Go) w wersjach przed 4.15.2 i 5.1.1 funkcja Context.Scheme zwraca wartości z nagłówków X-Forwarded-Proto, X-Forwarded-Protocol lub X-Url-Scheme bez sprawdzenia, czy są to obsługiwane schematy sieciowe. Middleware WWWRedirect i NonWWWRedirect używają tej wartości do budowy nagłówka Location, co pozwala atakującemu kontrolującemu nagłówek forwarded scheme wymusić przekierowanie na dowolny schemat URI. Warianty przekierowań specyficzne dla HTTPS mają zaszyty na stałe HTTPS i nie są podatne.

W frameworku Echo (Go) w wersjach przed 4.16.0 i 5.4.0 funkcja Context.Scheme bezwarunkowo ufa nagłówkom forwarded scheme od dowolnego klienta. Klient łączący się bezpośrednio przez zwykły HTTP może podać schemat HTTPS i ominąć HTTPSRedirect, ponieważ żądanie jest traktowane jako już bezpieczne. Dodatkowo, za proxy terminującym TLS przekazującym nagłówek kontrolowany przez atakującego, deklarowany schemat HTTP może stłumić nagłówek Strict-Transport-Security, mimo że przeglądarka otrzymuje odpowiedź przez HTTPS.

W frameworku Echo (Go) w wersjach przed 4.16.0 i 5.4.0 funkcja sanitizeURI sprawdza tylko pierwsze dwa bajty celu przekierowania przed decyzją, czy zaczyna się on od pary separatorów ścieżki absolutnej. Gdy AddTrailingSlash lub RemoveTrailingSlash są skonfigurowane ze statusem przekierowania, forma ścieżki ze slashem, TAB-em i separatorem może ominąć zabezpieczenie, zostać wysłana w nagłówku Location i znormalizowana przez przeglądarkę do hosta kontrolowanego przez atakującego.

W frameworku Echo przed wersjami 4.15.3 i 5.2.0 middleware.Static może ponownie dekodować już zdekodowaną wartość Request.URL.Path. Podwójnie zakodowane separatory mogą zostać zrekonstruowane przed rozwiązywaniem ścieżki w systemie plików, co pozwala dotrzeć do pliku chronionego przez trasę, gdy middleware statyczne jest zarejestrowane globalnie.

W frameworku Echo przed wersjami 4.16.0 i 5.4.0 statyczne handlery plików mogą normalizować segmenty kropkowe po dopasowaniu trasy i serwować plik przez publiczną trasę statyczną, mimo że bezpośrednia ścieżka jest chroniona przez middleware na poziomie trasy. Luka jest wynikiem niekompletnej poprawki dla CVE-2026-55677.

W frameworku Echo od wersji 4.0.0 do 5.1.0 Context.RealIP korzysta z wartości X-Forwarded-For lub X-Real-IP dostarczonych przez klienta, gdy Echo.IPExtractor nie jest ustawiony, a domyślny RateLimiter używa tego wyniku jako identyfikatora klienta. Atakujący może rotować wartości nagłówków, aby uzyskiwać nowe koszyki limitu i omijać ograniczenia oparte na IP.

W frameworku Echo przed wersjami 4.16.0 i 5.4.0 funkcje Context.JSONP i Context.JSONPBlob wstawiają niezwalidowaną wartość callback do odpowiedzi JavaScript. Trasa przekazująca dane kontrolowane przez atakującego jako callback może zwrócić wykonywalny skrypt, umożliwiając reflected XSS.

W frameworku Echo od wersji 4.0.0 do 5.4.0 middleware Proxy może zachować nagłówek X-Real-IP dostarczony przez atakującego i przekazać go do usługi nadrzędnej, gdy Echo.IPExtractor nie jest skonfigurowany. Zdalny klient może w ten sposób podszyć się pod adres klienta widziany przez usługi nadrzędne.

W frameworku Echo przed wersjami 4.16.0 i 5.4.0 globalnie zamontowany middleware.Static może interpretować zakodowaną ścieżkę żądania inaczej niż router. Router dopasowuje nadal zakodowaną ścieżkę, a handler statyczny używa zdekodowanego URL.Path, co może prowadzić do dostępu do plików.

W frameworku Echo (Go) middleware MethodOverride przed wersjami 4.16.0 i 5.4.0 akceptuje bezpieczną metodę HTTP jako cel nadpisania dla żądania POST. Gdy MethodOverride jest zarejestrowany przed CSRF w łańcuchu middleware po routingu, wybór trasy zachowuje oryginalny handler POST, ale nadpisanie zmienia metodę przed sprawdzeniem CSRF, co powoduje pominięcie walidacji tokenu i kontroli Sec-Fetch-Site. Exploit cross-site wymaga uwierzytelnionej ofiary i wartości nadpisania kontrolowanej przez przeglądarkę, np. gettera formularza; domyślny getter nagłówka X-HTTP-Method-Override nie jest ustawialny przez formularz cross-site.

Echo, framework webowy dla Go, w wersjach od 5.0.0 do 5.4.1 ma podatność w ExtractIPFromRealIPHeader, który waliduje nagłówek X-Real-IP podany przez klienta zamiast bezpośredniego peera sieciowego. Klient może podać adres loopback lub prywatny i uzyskać sfałszowaną tożsamość z Context.RealIP.

Echo, framework webowy dla Go, w wersjach od 5.0.0 do 5.4.1 ma podatność w middleware BodyDump, który może odrzucić błąd przekroczenia BodyLimit dla żądania o nieznanej długości, gdy limit przechwytywania BodyDump jest niższy niż próg BodyLimit. Żądanie HTTP/1.1 chunked może zostać obcięte i przetworzone mimo przekroczenia limitu.

Echo to framework webowy w Go. Od wersji 4.15.0 do 4.16.1 i 5.4.1 middleware Proxy w Echo może zatrzymywać handler, kopiować gorutyny i połączenia sieciowe po rozłączeniu klienta WebSocket, gdy upstream utrzymuje otwarte połączenie. Surowy proxy czeka na oba kierunki kopiowania bez niezawodnego zamykania połączenia peera, gdy jeden kierunek się kończy, w tym gdy odrzucona odpowiedź upgrade używa HTTP keep-alive. Powtarzane połączenia mogą gromadzić zasoby i powodować odmowę usługi, w zależności od dostępności trasy proxy, zachowania upstream i terminów połączeń. Problem naprawiono w wersjach 4.16.1 i 5.4.1.

Echo to framework webowy w Go. Od wersji 4.0.0 do 4.16.1 opcjonalne middleware Decompress w Echo v4 udostępnia strumień żądania zdekodowany gzipem bez ograniczania jego rozmiaru po dekompresji. Małe skompresowane żądanie może rozwinąć się do bardzo dużego ciała, gdy handler je odczytuje lub wiąże, zużywając nadmierną pamięć lub CPU i pozwalając powtarzanym lub równoległym żądaniom powodować odmowę usługi. Middleware nie jest domyślnie włączone, a ograniczanie tylko skompresowanego rozmiaru żądania nie ogranicza rozmiaru po dekodowaniu. Problem naprawiono w wersji 4.16.1.

Echo to framework webowy w Go. Od wersji 4.0.0 do 4.16.1 opcjonalne middleware BodyDump w Echo v4 odczytuje pełne ciała żądań do pamięci przed uruchomieniem handlerów i zachowuje pełne ciała odpowiedzi dla callbacku dump bez limitów przechwytywania. Nieuwierzytelniony klient, który może dotrzeć do trasy używającej BodyDump, może przesyłać duże ciała lub wpływać na duże odpowiedzi, powodując powtarzane lub równoległe alokacje wyczerpujące pamięć procesu. BodyDump nie jest domyślnie włączone, a zewnętrzne limity żądań mogą zmniejszyć ekspozycję po stronie żądania, ale nie ograniczają przechwytywania odpowiedzi. Problem naprawiono w wersji 4.16.1.

W frameworku Echo (Go) od wersji 4.0.0 do 4.16.1 oraz w wersji 5.4.1 middleware Proxy wybiera surowy tunel z żądania WebSocket klienta przed weryfikacją, czy skonfigurowany upstream zaakceptował upgrade. Jeśli upstream odrzuci upgrade zwykłą odpowiedzią keep-alive, kolejne żądania HTTP na tym połączeniu trafiają bezpośrednio do upstreamu z pominięciem routera Echo i middleware tras. Może to obejść uwierzytelnianie lub autoryzację egzekwowane wyłącznie przez trasy Echo.

Podatność w rozszerzeniu Echo (Wikimedia Foundation) polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi. Problem dotyczy pliku includes/Api/ApiEchoNotifications.Php i występuje w wersjach Echo przed 1.43.7, 1.44.4 oraz 1.45.2.