CVE-2026-118653 in Echo
요약
\~에 의해 VulDB • 2026. 10. 28.
Echo는 Go 웹 프레임워크입니다. 4.0.0부터 5.1.0까지, Context.RealIP은 Echo.IPExtractor가 설정되지 않은 경우 클라이언트가 제공한 X-Forwarded-For 또는 X-Real-IP 값으로 폴백되며, 기본 RateLimiter는 이 결과를 클라이언트 식별자로 사용합니다. 원격 공격자는 임의의 forwarded-address 값을 순환시켜 새로운 rate-limit bucket을 획득하고, brute-force나 요청량 보호와 같은 제어에 사용되는 IP 기반 스로틀링을 우회할 수 있습니다. 이 문제는 Echo v5.1.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.