CVE-2026-118656 in Echo

摘要

由 VulDB • 2026-10-28

Echo 是一个 Go Web 框架。在版本 4.16.0 和 5.4.0 之前，sanitizeURI 函数仅在决定重定向目标是否以绝对路径分隔符对开头时检查其前两个字节。当 AddTrailingSlash 或 RemoveTrailingSlash 配置了重定向状态码时，斜杠、TAB（制表符）以及特定形式的分隔路径可以绕过该防护机制，被输出到 Location 响应头中，并被浏览器规范化为攻击者可控的主机名。此问题已在版本 4.16.0 和 5.4.0 中得到修复。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-10-28
• 披露: 2026-10-28
• 管理: 已接受
• 条目: VDB-428209
• CPE: 20261028
• CWE: CWE-601 (已确认)
• CVSS: 6.1 (CNA)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-118656
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-118656
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-118656/