CVE-2026-118266 in Echo
Zusammenfassung
von VulDB • 28.10.2026
Echo ist ein Go-Webframework. Vor den Versionen 4.16.0 und 5.4.0 akzeptiert das MethodOverride-Middleware von Echo eine sichere HTTP-Methode als Ziel für die Überschreibung einer POST-Anfrage. Wenn MethodOverride vor CSRF in der Middleware-Kette nach dem Routing registriert ist, behält die Routenauswahl den ursprünglichen zustandsändernden POST-Handler bei, aber die Methode wird überschrieben, bevor CSRF diese auswertet, wodurch sowohl die Tokenvalidierung als auch die Sec-Fetch-Site-Prüfungen übersprungen werden. Ein Cross-Site-Exploit erfordert einen authentifizierten Opferbenutzer und einen Überschreibungswert, den eine vom Browser eingereichte Anfrage steuern kann, wie z.B. der Formular-Gewinner (getter), der im Reproduzierungsbeispiel des Berichts verwendet wird; der standardmäßige X-HTTP-Method-Override-Header-Gewinner ist nicht durch ein Cross-Site-Formular setzbar. Dieses Problem wurde in den Versionen 4.16.0 und 5.4.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.