CVE-2026-118266

اسم البرنامج المصاب والإصدارات المتأثرة Echo الإصدارات السابقة لـ 4.16.0 Echo الإصدارات السابقة لـ 5.4.0

Description يسمح برنامج الوسيط MethodOverride بإعادة كتابة طلب POST إلى طريقة HTTP آمنة (مثل GET أو HEAD أو OPTIONS أو TRACE). عندما يتم تسجيل هذا الوسيط قبل وسيط CSRF في سلسلة ما بعد التوجيه، يتم تغيير طريقة الطلب قبل أن يقوم وسيط CSRF بتقييمها. وبناءً على ذلك، يتخطى وسيط CSRF التحقق من الرمز وفحوصات Sec-Fetch-Site لما يعتبره طريقة آمنة، بينما يظل معالج POST الأصلي المسؤول عن تغيير الحالة قيد التنفيذ. يسمح هذا بخداع ضحية مصادق عليها لتنفيذ عمليات تغيير الحالة عبر طلب عابر للمواقع (cross-site). ينبع هذا الخلل من دالة MethodOverrideConfig.ToMiddleware() في ملف middleware/method override.go لافتقارها إلى قائمة بيضاء لطرق الهدف، ودالة CSRFConfig.ToMiddleware() في ملف middleware/csrf.go لاعتمادها على الطريقة المعاد كتابتها.

Recommendations تحديث Echo إلى الإصدار 4.16.0 أو أحدث. تحديث Echo إلى الإصدار 5.4.0 أو أحدث. كإجراء مؤقت، قم بتسجيل وسيط MethodOverride باستخدام e.Pre() بدلاً من e.Use()، أو تأكد من تسجيل وسيط CSRF قبل وسيط MethodOverride. قصر استخدام وسيط MethodOverride على جالب الرأس الافتراضي X-HTTP-Method-Override لتقليل مخاطر الاستغلال العابر للمواقع.