CVE-2026-118651

Nome do Software Vulnerável e Versões Afetadas Echo versões 4.0.0 até 5.3.x

Descrição No middleware de Proxy, a estrutura pode preservar um cabeçalho X-Real-IP fornecido por um invasor e encaminhá-lo para um serviço upstream quando o Echo.IPExtractor não está configurado. Isso ocorre porque a função ProxyConfig.ToMiddleware() não sobrescreve o cabeçalho se ele já estiver presente e nenhum extrator estiver definido. Um cliente remoto pode falsificar seu endereço de cliente, o que pode ser usado para burlar controles de acesso baseados em IP, limitação de taxa, restrições geográficas ou poluir logs de auditoria que confiam na identidade encaminhada.

Recomendações Atualize para a versão 5.4.0 do Echo. Como solução temporária, configure o Echo.IPExtractor (por exemplo, usando echo.ExtractIPDirect() ou echo.ExtractIPFromXFFHeader()) para garantir que o cabeçalho X-Real-IP seja derivado de uma fonte confiável.