CVE-2026-118653

اسم البرنامج المصاب والإصدارات المتأثرة Echo الإصدارات من 4.0.0 إلى 5.0.9

الوصف عندما لا يتم تعيين Echo.IPExtractor بشكل صريح، تقوم دالة Context.RealIP() بالرجوع إلى قراءة قيم X-Forwarded-For أو X-Real-IP التي يوفرها العميل دون التحقق من مصدر البروكسي. وبما أن برنامج RateLimiter() الوسيط الافتراضي يستخدم Context.RealIP() لتحديد هوية العميل، يمكن للمهاجم عن بُعد تدوير قيم عشوائية في هذه الرؤوس للحصول على حاويات تحديد معدل (rate-limit buckets) جديدة. يتيح ذلك للمهاجم تجاوز تقييد المعدل القائم على عنوان IP والمستخدم للحماية من حجم الطلبات وعناصر التحكم الأمنية مثل الحماية من هجمات القوة الغاشمة (brute-force) على نقاط نهاية تسجيل الدخول أو إعادة تعيين كلمة المرور.

التفاصيل الفنية تشمل:

التوصيات تحديث Echo إلى الإصدار 5.1.0. كإجراء مؤقت، قم بتكوين Echo.IPExtractor صراحةً باستخدام echo.ExtractIPDirect() للبيئات التي لا تستخدم بروكسي، أو echo.ExtractIPFromXFFHeader() للبيئات التي تعمل خلف بروكسيات موثوقة. بدلاً من ذلك، قم بتعيين RateLimiterConfig.IdentifierExtractor لاستخدام معرف لا يمكن للعميل التحكم فيه.