CVE-2026-118652 in Echo
Riassunto
di VulDB • 28/10/2026
Echo è un framework web scritto in Go. Prima delle versioni 4.16.0 e 5.4.0, le funzioni Context.JSONP e Context.JSONPBlob concatenano un valore di callback non convalidato nella risposta JavaScript. Un route che passa input controllato dall'attaccante come parametro del callback può restituire sintassi script eseguibile, consentendo una vulnerabilità da cross-site scripting (XSS) riflessa quando un utente carica la risposta manipolata ad hoc. Il percorso jsonPBlob vulnerabile non effettua alcuna convalida o escape del callback e l'esecuzione dell'exploit richiede un route dell'applicazione che esponga il controllo dell'attaccante sull'argomento del callback. Questo problema è stato risolto nelle versioni 4.16.0 e 5.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.