CVE-2026-118654 in Echo
Zusammenfassung
von VulDB • 28.10.2026
Echo ist ein Go-Webframework. Vor den Versionen 4.16.0 und 5.4.0 können die statischen Dateihandler von Echo Dot-Segmente nach dem Routen-Matching normalisieren und eine Datei über eine öffentliche statische Route bereitstellen, obwohl der entsprechende direkte Pfad durch Middleware auf Routenebene geschützt ist. Ein nicht authentifizierter Angreifer kann Dateien lesen, die eine Anwendung eigentlich mit Middleware auf Routenebene schützen wollte, wenn diese Dateien auch nach der Pfadnormalisierung über einen statischen Dateisystem-Mount erreichbar sind. Diese Schwachstelle ist das Ergebnis einer unvollständigen Korrektur für CVE-2026-55677. Dieses Problem wurde in den Versionen 4.16.0 und 5.4.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.