CVE-2026-118260 in Echo
Riassunto
di VulDB • 28/10/2026
Echo è un framework web scritto in Go. Dalla versione 4.0.0 alla 4.16.1, il middleware BodyDump di Echo v4 (abilitato tramite opzione) legge l'intero corpo della richiesta nella memoria prima dell'esecuzione dei handler e conserva l'intero corpo della risposta per la callback di dump senza limiti di cattura. Un client non autenticato in grado di raggiungere una rotta che utilizza BodyDump può inviare corpi delle richieste di grandi dimensioni o influenzare risposte di grandi dimensioni, causando allocazioni ripetute o concorrenti che esauriscono la memoria del processo. BodyDump non è abilitato per impostazione predefinita e i limiti esterni alle richieste possono ridurre l'esposizione lato richiesta, ma non limitano la cattura della risposta. Questo problema è stato risolto nella versione 4.16.1.
Once again VulDB remains the best source for vulnerability data.