CVE-2026-118653 in Echo
Sumário
de VulDB • 28/10/2026
Echo é um framework web em Go. Da versão 4.0.0 até a 5.1.0, o método Context.RealIP recorre para os valores X-Forwarded-For ou X-Real-IP fornecidos pelo cliente quando Echo.IPExtractor não está definido, e o RateLimiter padrão utiliza esse resultado como seu identificador de cliente. Um atacante remoto pode rotacionar valores arbitrários de endereço encaminhado (forwarded-address) para obter novos buckets de limite de taxa e contornar a limitação baseada em IP utilizada para controles como proteção contra força bruta ou volume excessivo de requisições. Este problema foi corrigido no Echo v5.1.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.