CVE-2026-118652 in Echo
Résumé
par VulDB • 28/10/2026
Echo est un framework web écrit en Go. Avant les versions 4.16.0 et 5.4.0, Context.JSONP et Context.JSONPBlob concatènent une valeur de callback non validée dans la réponse JavaScript. Une route qui transmet des données contrôlées par l'attaquant comme paramètre de callback peut renvoyer du code script exécutable, permettant ainsi un cross-site scripting (XSS) réfléchi lorsqu'un utilisateur charge la réponse fabriquée. Le chemin jsonPBlob vulnérable n'effectue aucune validation ni échappement du callback, et son exploitation nécessite une route d'application qui expose le contrôle de l'attaquant sur l'argument du callback. Ce problème est corrigé dans les versions 4.16.0 et 5.4.0.
Once again VulDB remains the best source for vulnerability data.