PT-2026-129167
CVE-2026-118651
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Echo الإصدارات من 4.0.0 إلى 5.3.x
الوصف
في برمجية Proxy الوسيطة، قد يقوم الإطار بالحفاظ على ترويسة
X-Real-IP التي يرسلها المهاجم وتمريرها إلى خدمة عليا (upstream) عندما لا يكون Echo.IPExtractor مهيأً. يحدث هذا لأن دالة ProxyConfig.ToMiddleware() تفشل في إعادة كتابة الترويسة إذا كانت موجودة بالفعل ولم يتم تحديد مستخرج (extractor). يمكن لعميل عن بُعد تزييف عنوان العميل الخاص به، مما قد يؤدي إلى تجاوز ضوابط الوصول القائمة على عنوان IP، أو تحديد معدل الطلبات، أو القيود الجغرافية، أو تسميم سجلات التدقيق التي تثق في الهوية المرسلة.التوصيات
التحديث إلى إصدار Echo 5.4.0.
كإجراء مؤقت، قم بتكوين
Echo.IPExtractor (على سبيل المثال، باستخدام echo.ExtractIPDirect() أو echo.ExtractIPFromXFFHeader()) لضمان اشتقاق ترويسة X-Real-IP من مصدر موثوق.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾