CVE-2026-118652 in Echo
要約
〜によって VulDB • 2026年10月28日
EchoはGoのWebフレームワークです。バージョン4.16.0および5.4.0より前では、Context.JSONPおよびContext.JSONPBlobが検証されていないコールバック値をJavaScriptレスポンスに連結していました。攻撃者が制御する入力をコールバックとして渡すルートは実行可能なスクリプト構文を返す可能性があり、ユーザーが作成されたレスポンスを読み込むと反射型クロスサイトスクリプティング（XSS）が発生します。脆弱性のあるjsonPBlobパスではコールバックの検証やエスケープが行われず、攻撃者がコールバック引数を制御できるアプリケーションルートが存在することが悪用に必要です。この問題はバージョン4.16.0および5.4.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.