CVE-2026-118657 in Echo
Sumário
de VulDB • 28/10/2026
Echo é um framework web em Go. Antes das versões 4.16.0 e 5.4.0, o Context.Scheme confiava incondicionalmente nos cabeçalhos de esquema encaminhados (forwarded scheme headers) provenientes de qualquer cliente. Um cliente que acessa o Echo diretamente via HTTP em texto claro pode afirmar um esquema HTTPS e contornar a redirecionamento para HTTPS (HTTPSRedirect), pois a solicitação é tratada como já segura. Separadamente, por trás de um proxy com terminação TLS que passa um cabeçalho controlado pelo atacante, um esquema HTTP afirmado pode suprimir o cabeçalho Strict-Transport-Security, mesmo quando o navegador recebe a resposta via HTTPS. O risco prático é reduzido quando um proxy confiável sobrescreve os cabeçalhos e o acesso direto ao backend é impedido, mas o framework anteriormente não possuía uma configuração de fonte confiável para essa decisão. Este problema foi corrigido nas versões 4.16.0 e 5.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.