PT-2026-129178
CVE-2026-118658
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
4.7
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Echo الإصدارات السابقة لـ 4.15.2
Echo الإصدارات السابقة لـ 5.1.1
Description
تقوم الدالة
Scheme() في إطار عمل Echo للويب بالوثوق برؤوس الطلبات X-Forwarded-Proto و X-Forwarded-Protocol و X-Url-Scheme دون التحقق من أن القيم هي مخططات ويب مدعومة. تستخدم البرمجيات الوسيطة WWWRedirect() و NonWWWRedirect() هذه القيمة غير المطهرة لإنشاء رأس الاستجابة Location. يمكن للمهاجم الذي يتحكم في هذه الرؤوس حقن مخططات URI تعسفية، مثل javascript أو data أو vbscript أو file أو ftp أو ssh أو telnet أو gopher مما يؤدي إلى إعادة توجيه مفتوحة أو تسميم ذاكرة التخزين المؤقت عندما لا يكون التطبيق خلف وكيل (proxy) يقوم بإزالة هذه الرؤوس.Recommendations
تحديث Echo إلى الإصدار 4.15.2 أو أحدث.
تحديث Echo إلى الإصدار 5.1.1 أو أحدث.
كإجراء مؤقت، قم بتكوين وكيل الحافة (edge proxy) لإعادة كتابة أو إزالة رؤوس الطلبات
X-Forwarded-Proto و X-Forwarded-Protocol و X-Url-Scheme. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾