CVE-2026-118265 in Echo
요약
\~에 의해 VulDB • 2026. 10. 28.
Echo는 Go 웹 프레임워크입니다. 버전 5.0.0부터 5.4.1까지, Echo v5의 ExtractIPFromRealIPHeader 함수는 직접적인 네트워크 피어(peer)를 검증하는 대신 클라이언트가 제공한 X-Real-IP 값이 신뢰할 수 있는 범위 내에 있는지 여부를 확인합니다. Echo에 직접 접근하거나 헤더를 보존하는 프록시를 통해 접근하는 클라이언트는 루프백(loopback) 또는 사설(private) 주소를 제공할 수 있으며, 이로 인해 Context.RealIP가 해당 속임수(spoofered) 신원을 반환하게 됩니다. IP 허용 목록(IP allowlists), 속도 제한(rate limiting), 감사 로그(audit logs), 헤더 전달(header forwarding) 등에 이 추출기(extractor)를 사용하는 애플리케이션은 공격자가 제어하는 주소를 신뢰할 수 있게 되며, 기본 직접 추출기(direct extractor)와 Echo v4는 영향을 받지 않습니다. 이 문제는 5.4.1에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.