CVE-2026-118653

Nome do Software Vulnerável e Versões Afetadas Echo versões 4.0.0 até 5.0.9

Descrição Quando o Echo.IPExtractor não é definido explicitamente, a função Context.RealIP() recorre à leitura dos cabeçalhos X-Forwarded-For ou X-Real-IP fornecidos pelo cliente sem validar a origem do proxy. Como o middleware RateLimiter() padrão utiliza o Context.RealIP() para identificar clientes, um invasor remoto pode rotacionar valores arbitrários nesses cabeçalhos para obter novos buckets de limite de taxa. Isso permite que o invasor ignore o controle de tráfego baseado em IP usado para proteção de volume de requisições e controles de segurança, como a prevenção de força bruta em endpoints de login ou redefinição de senha.

Detalhes técnicos incluem:

Recomendações Atualize o Echo para a versão 5.1.0. Como solução temporária, configure explicitamente o Echo.IPExtractor usando echo.ExtractIPDirect() para implantações sem proxy ou echo.ExtractIPFromXFFHeader() para implantações atrás de proxies confiáveis. Alternativamente, defina RateLimiterConfig.IdentifierExtractor para usar um identificador que não possa ser controlado pelo cliente.