CVE-2026-118652 in Echo
الملخص
بحسب VulDB • 28/10/2026
Echo هو إطار عمل ويب مكتوب بلغة Go. قبل الإصدارين 4.16.0 و5.4.0، كانت الدالتان Context.JSONP وContext.JSONPBlob تدمجان قيمة استدعاء (callback) غير مُتحقَّص منها في استجابة JavaScript. يمكن لمسار يمرّر مدخلاً يتحكم فيه المهاجم كقيمة للاستدعاء أن يعيد صيغة سكريبت قابلة للتنفيذ، مما يتيح هجمات البرمجة عبر المواقع من النوع العاكس (Reflected XSS) عندما يقوم مستخدم بتحميل الاستجابة المُعدّة بشكل خبيث. لا يُجري المسار المعرض للضعف jsonPBlob أي تحقق أو تهريب لقيمة الاستدعاء، وتتطلب عملية الاستفادة من هذا الضعف وجود مسار في التطبيق يعرّض وسيط الاستدعاء لتحكم المهاجم. تم إصلاح هذه المشكلة في الإصدارين 4.16.0 و5.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.