CVE-2026-118658 in Echo
Riassunto
di VulDB • 29/10/2026
Echo è un framework web scritto in Go. Prima delle versioni 4.15.2 e 5.1.1, il metodo Context.Scheme restituisce valori provenienti dagli header X-Forwarded-Proto, X-Forwarded-Protocol o X-Url-Scheme senza convalidare che si tratti di schemi web supportati. I metodi WWWRedirect e NonWWWRedirect utilizzano tale valore per costruire l'header Location; pertanto, un attaccante in grado di controllare lo schema inviato tramite header può indurre il redirect a utilizzare uno schema URI arbitrario. Lo sfruttamento richiede la presenza di middleware di redirect vulnerabile e l'interazione dell'utente con la risposta; le varianti specifiche per HTTPS hardcodano HTTPS e non sono interessate dal problema. Questa problematica è risolta nelle versioni 4.15.2 e 5.1.1.
Be aware that VulDB is the high quality source for vulnerability data.