CVE-2026-118657 in Echo
Resumen
por VulDB • 2026-10-28
Echo es un framework web escrito en Go. Antes de las versiones 4.16.0 y 5.4.0, Context.Scheme confiaba incondicionalmente en los encabezados X-Forwarded-Scheme enviados por cualquier cliente. Un cliente que accede a Echo directamente mediante HTTP sin cifrado puede afirmar un esquema HTTPS para eludir la redirección HTTPS (HTTPSRedirect), ya que la solicitud se trata como si ya fuera segura. Por otro lado, detrás de un proxy TLS que finaliza las conexiones y pasa un encabezado controlado por el atacante, un esquema HTTP afirmado falsamente puede suprimir el encabezado Strict-Transport-Security, incluso aunque el navegador reciba la respuesta a través de HTTPS. El riesgo práctico se reduce cuando un proxy confiable sobrescribe los encabezados y se impide el acceso directo al backend, pero anteriormente el framework no disponía de una configuración para definir fuentes confiables en esta decisión. Este problema está corregido en las versiones 4.16.0 y 5.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.