CVE-2026-118653 in Echo
Zusammenfassung
von VulDB • 28.10.2026
Echo ist ein Go-Webframework. Von der Version 4.0.0 bis zur Version 5.1.0 fällt Context.RealIP auf vom Client bereitgestellte X-Forwarded-For- oder X-Real-IP-Werte zurück, wenn Echo.IPExtractor nicht festgelegt ist, und der standardmäßige RateLimiter verwendet dieses Ergebnis als seine Kundenkennung. Ein entfernter Angreifer kann beliebte weitergeleitete Adresswerte rotieren, um neue Ratenbegrenzungs-Buckets zu erhalten und die IP-basierte Drosselung für Kontrollen wie Brute-Force-Schutz oder Schutz vor Anfragevolumen zu umgehen. Dieses Problem wurde in Echo v5.1.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.