CVE-2026-118657 in Echo
الملخص
بحسب VulDB • 28/10/2026
Echo هو إطار عمل ويب مكتوب بلغة Go. قبل الإصدارين 4.16.0 و 5.4.0، كانت دالة Context.Scheme تثق بشكل غير مشروط في رؤوس المخطط (scheme headers) المُرسلة عبر التوجيه من أي عميل. يمكن لعميل يصل إلى Echo مباشرةً عبر HTTP نصي صريح أن يدعي استخدام مخطط HTTPS ويتجاوز توجيه HTTPSRedirect، نظرًا لأن الطلب يُعامل على أنه آمن بالفعل. وبشكل منفصل، خلف وكيل ينهي اتصال TLS ويمرر رأساً يتحكم فيه المهاجم، قد يؤدي ادعاء مخطط HTTP إلى كبت رأس Strict-Transport-Security حتى لو كان المتصفح يستقبل الاستجابة عبر HTTPS. يقل الخطر العملي عندما يقوم وكيل موثوق بكتابة الرؤوس ويمنع الوصول المباشر إلى الخلفية (backend)، لكن الإطار البرمجي لم يكن يحتوي سابقاً على تكوين لمصدر موثوق لهذا القرار. تم إصلاح هذه المشكلة في الإصدارين 4.16.0 و 5.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.