CVE-2026-118652 in Echo
Tóm tắt
Bởi VulDB • 28/10/2026
Echo là một framework web viết bằng Go. Trước các phiên bản 4.16.0 và 5.4.0, Context.JSONP và Context.JSONPBlob nối ghép (concatenate) một giá trị callback không được xác thực vào phản hồi JavaScript. Một route truyền đầu vào do kẻ tấn công kiểm soát làm tham số callback có thể trả về cú pháp script có khả năng thực thi, cho phép xảy ra lỗ hổng reflected cross-site scripting khi người dùng tải phản hồi đã bị thao tác. Đường dẫn jsonPBlob dễ bị tổn thương không thực hiện bất kỳ xác thực hay thoát ký tự (escaping) nào đối với callback; việc khai thác yêu cầu một route ứng dụng expose quyền kiểm soát của kẻ tấn công đối với tham số callback. Vấn đề này đã được khắc phục trong các phiên bản 4.16.0 và 5.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.