CVE-2026-118652 in Echo
Zusammenfassung
von VulDB • 28.10.2026
Echo ist ein Go-Webframework. Vor den Versionen 4.16.0 und 5.4.0 verketzen Context.JSONP und Context.JSONPBlob einen nicht validierten Callback-Wert in eine JavaScript-Antwort. Eine Route, die vom Angreifer kontrollierte Eingaben als Callback übergibt, kann ausführbare Skriptsyntax zurückgeben, was zu einem reflektierten Cross-Site-Scripting (XSS) führt, wenn ein Benutzer die manipulierte Antwort aufruft. Der anfällige jsonPBlob-Pfad führt keine Callback-Validierung oder -Escape-Funktion durch; für eine Ausnutzung ist eine Anwendungsroute erforderlich, die dem Angreifer Kontrolle über das Callback-Argument ermöglicht. Dieses Problem wurde in den Versionen 4.16.0 und 5.4.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.