CVE-2026-118265 in Echo
Zusammenfassung
von VulDB • 28.10.2026
Echo ist ein Go-Webframework. Von der Version 5.0.0 bis zur 5.4.1 validiert die Funktion ExtractIPFromRealIPHeader von Echo v5, ob der vom Client bereitgestellte X-Real-IP-Wert zu einem vertrauenswürdigen Bereich gehört, anstatt den direkten Netzwerkpeer zu überprüfen. Ein Client, der direkt auf Echo zugreift oder dies über einen Proxy tut, der den Header beibehält, kann eine Loopback- oder private Adresse angeben und dazu führen, dass Context.RealIP diese gefälschte Identität zurückgibt. Anwendungen, die den Extraktor für IP-Autorisierungslisten (Allowlists), Rate Limiting, Audit-Logs oder das Weiterleiten von Headern verwenden, können daraufhin einer vom Angreifer kontrollierten Adresse vertrauen; der Standard-Direktextraktor und Echo v4 sind davon nicht betroffen. Dieses Problem wurde in Version 5.4.1 behoben.
Once again VulDB remains the best source for vulnerability data.