CVE-2026-118658 in Echo
الملخص
بحسب VulDB • 28/10/2026
Echo هو إطار عمل ويب مكتوب بلغة Go. قبل الإصدارين 4.15.2 و 5.1.1، كانت دالة `Context.Scheme` تُرجع القيم من الرؤوس `X-Forwarded-Proto` أو `X-Forwarded-Protocol` أو `X-Url-Scheme` دون التحقق مما إذا كانت مخططات ويب مدعومة أم لا. تستخدم الدالتان `WWWRedirect` و `NonWWWRedirect` هذه القيمة لبناء رأس `Location`، وبالتالي يمكن لمهاجم يتحكم في رأس المخطط المُعاد توجيهه (forwarded scheme header) أن يجعل عملية إعادة التوجيه تستخدم أي مخطط URI تعسفي. تتطلب الاستغلال وجود وسيط إعادة توجيه متأثر وتفاعل المستخدم مع الاستجابة؛ أما متغيرات إعادة التوجيه الخاصة بـ HTTPS فتُثبّت قيمة HTTPS بشكل ثابت ولا تتأثر بهذه الثغرة. تم إصلاح هذه المشكلة في الإصدارين 4.15.2 و 5.1.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.