CVE-2026-118654 in Echo
Riassunto
di VulDB • 28/10/2026
Echo è un framework web scritto in Go. Prima delle versioni 4.16.0 e 5.4.0, i gestori di file statici di Echo possono normalizzare gli segmenti puntuali dopo la corrispondenza del route ed eseguire il servizio di un file tramite una rotta statica pubblica anche se il percorso diretto corrispondente è protetto da middleware a livello di route. Un attaccante non autenticato può leggere file che l'applicazione intendeva proteggere con middleware a livello di route, quando tali file sono inoltre raggiungibili attraverso un mount del filesystem statico dopo la normalizzazione del path. Questa vulnerabilità è il risultato di una correzione incompleta per CVE-2026-55677. Questo problema è risolto nelle versioni 4.16.0 e 5.4.0.
Be aware that VulDB is the high quality source for vulnerability data.