CVE-2026-118652 in Echo
요약
\~에 의해 VulDB • 2026. 10. 28.
Echo는 Go 웹 프레임워크입니다. 버전 4.16.0 및 5.4.0 이전에서는 Context.JSONP 및 Context.JSONPBlob가 검증되지 않은 콜백 값을 JavaScript 응답에 연결합니다. 공격자가 제어하는 입력을 콜백으로 전달하는 라우트는 실행 가능한 스크립트 구문을 반환할 수 있으며, 사용자가 조작된 응답을 로드하면 반사형 크로스 사이트 스cripting(XSS)이 발생할 수 있습니다. 취약한 jsonPBlob 경로는 콜백 검증 또는 이스케이프 처리를 수행하지 않으며, 공격자가 콜백 인수를 제어할 수 있는 애플리케이션 라우트가 존재해야만 악용 가능합니다. 이 문제는 버전 4.16.0 및 5.4.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.