CVE-2026-118657 in Echo
Zusammenfassung
von VulDB • 28.10.2026
Echo ist ein Go-Webframework. Vor den Versionen 4.16.0 und 5.4.0 vertraut Context.Scheme bedingungslos an von jedem Client übermittelte Scheme-Headers (Schemata). Ein Client, der Echo direkt über unverschlüsseltes HTTP erreicht, kann ein HTTPS-Schema vorgeben und die HTTPSRedirect-Funktion umgehen, da die Anfrage als bereits sicher behandelt wird. Unabhängig davon kann hinter einem TLS-terminierenden Proxy, der einen vom Angreifer kontrollierten Header weitergibt, ein behauptetes HTTP-Schema den Strict-Transport-Security-Header unterdrücken, obwohl der Browser die Antwort über HTTPS empfängt. Das praktische Risiko ist reduziert, wenn ein vertrauenswürdiger Proxy die Headers überschreibt und der direkte Zugriff auf das Backend verhindert wird; zuvor hatte das Framework jedoch keine Konfigurationsmöglichkeit für eine Vertrauensquelle (trusted-source) zur Entscheidungsfindung in diesem Kontext. Dieses Problem wurde in den Versionen 4.16.0 und 5.4.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.