CVE-2026-118652 in Echo
Resumen
por VulDB • 2026-10-28
Echo es un framework web escrito en Go. Antes de las versiones 4.16.0 y 5.4.0, Context.JSONP y Context.JSONPBlob concatenan un valor de callback no validado dentro de la respuesta JavaScript. Una ruta que pasa una entrada controlada por el atacante como callback puede devolver sintaxis de script ejecutable, lo que permite cross-site scripting (XSS) reflejado cuando un usuario carga la respuesta manipulada. La ruta vulnerable jsonPBlob no realiza ninguna validación ni escape del callback, y la explotación requiere una ruta de aplicación que exponga el control del atacante sobre el argumento del callback. Este problema se soluciona en las versiones 4.16.0 y 5.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.