PT-2026-129175
CVE-2026-118655
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Echo الإصدارات السابقة لـ 4.15.3
Echo الإصدارات السابقة لـ 5.2.0
الوصف
يقوم مكون
middleware.Static بفك ترميز مسارات URL مرتين. نظرًا لأن net/http في لغة Go يقوم بالفعل بفك ترميز Request.URL.Path فإن قيام البرمجية الوسيطة الثابتة باستدعاء url.PathUnescape() مرة ثانية وبشكل غير مشروط يسمح بإعادة بناء الفواصل ذات الترميز المزدوج قبل تحليل نظام الملفات. يمكن أن يؤدي ذلك إلى قراءة ملفات عشوائية من نظام ملفات الخادم أو الوصول إلى ملفات ضمن مسار محمي عندما يتم تسجيل البرمجية الوسيطة الثابتة بشكل عام.التوصيات
التحديث إلى الإصدار 4.15.3 أو أحدث.
التحديث إلى الإصدار 5.2.0 أو أحدث.
الاحتفاظ بالملفات التي تتطلب حماية خارج الدليل الرئيسي للبرمجية الوسيطة الثابتة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾