CVE-2026-118657 in Echo
要約
〜によって VulDB • 2026年10月28日
EchoはGo製のWebフレームワークです。バージョン4.16.0および5.4.0より前では、Context.Schemeが任意のクライアントからの転送済みスキームヘッダーを無条件で信頼していました。平文HTTP経由でEchoに直接アクセスできるクライアントは、HTTPSスキームを主張することで、リクエストが既に安全であるとみなされるため、HTTPSRedirectを回避できます。また、攻撃者が制御するヘッダーを渡すTLS終端プロキシの背後では、ブラウザがHTTPSを通じてレスポンスを受信しているにもかかわらず、HTTPスキームを主張することでStrict-Transport-Securityヘッダーが無効化されることがあります。信頼できるプロキシがこれらのヘッダーを上書きし、バックエンドへの直接アクセスが防止されている場合、実質的なリスクは軽減されますが、この判断に関するフレームワークの以前のバージョンには信頼できるソースの設定がありませんでした。本問題は4.16.0および5.4.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.