CVE-2026-118654

Nome do Software Vulnerável e Versões Afetadas Echo versões anteriores a 4.16.0 Echo versões anteriores a 5.4.0

Description Os manipuladores de arquivos estáticos podem normalizar segmentos de ponto após a correspondência de rota, permitindo que um invasor não autenticado leia arquivos que deveriam estar protegidos por middleware de nível de rota. Isso ocorre quando arquivos protegidos também são acessíveis por meio de uma montagem de sistema de arquivos estáticos após a normalização do caminho. O problema decorre de uma correção incompleta onde segmentos de travessia codificados, como %2E%2E, ignoram proteções que verificam apenas separadores de caminho codificados como %2F e %5C. Nesses casos, a solicitação é decodificada e resolvida via path.Clean, servindo o arquivo protegido por meio de uma rota estática pública. Além disso, quando a variável UseEscapedPathForMatching é definida como true, o roteador normaliza os separadores codificados antes que o manipulador estático verifique o curinga, ignorando a proteção de separadores codificados.

Recommendations Atualize o Echo para a versão 4.16.0 ou posterior. Atualize o Echo para a versão 5.4.0 ou posterior. Como solução temporária, coloque um proxy reverso à frente da aplicação para normalizar os caminhos das solicitações, removendo segmentos de ponto e mesclando barras. Como solução temporária, garanta que os arquivos protegidos sejam armazenados fora do diretório servido pela montagem do sistema de arquivos estáticos.