PT-2026-129177
CVE-2026-118657
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:L/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Echo الإصدارات السابقة لـ 4.16.0
Echo الإصدارات السابقة لـ 5.4.0
الوصف
تقوم الدالة
Context.Scheme بالثقة غير المشروطة في رؤوس المخطط (scheme headers) المرسلة من أي عميل. يسمح هذا للعميل الذي يتصل عبر بروتوكول HTTP العادي بادعاء استخدام مخطط HTTPS، مما يؤدي إلى تجاوز آلية HTTPSRedirect لأن الطلب يُعامل على أنه آمن بالفعل. بالإضافة إلى ذلك، عند استخدامه خلف وكيل إنهاء TLS يقوم بتمرير رؤوس يتحكم فيها المهاجم، يمكن لمخطط HTTP المدعى أن يعطل رأس Strict-Transport-Security حتى لو استلم المتصفح الاستجابة عبر HTTPS. يحدث هذا لأن الإطار البرمجي كان يفتقر إلى تكوين المصدر الموثوق لاتخاذ هذا القرار.التوصيات
التحديث إلى الإصدار 4.16.0.
التحديث إلى الإصدار 5.4.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾