CVE-2026-118655

Nome do Software Vulnerável e Versões Afetadas Echo versões anteriores a 4.15.3 Echo versões anteriores a 5.2.0

Descrição O componente middleware.Static realiza a decodificação dupla de caminhos de URL. Como o net/http do Go já decodifica o Request.URL.Path, o fato de o middleware estático chamar url.PathUnescape() incondicionalmente pela segunda vez permite que separadores com codificação dupla sejam reconstruídos antes da resolução do sistema de arquivos. Isso pode levar à leitura arbitrária de arquivos do sistema de arquivos do servidor ou permitir o acesso a arquivos sob uma rota protegida quando o middleware estático é registrado globalmente.

Recomendações Atualize para a versão 4.15.3 ou posterior. Atualize para a versão 5.2.0 ou posterior. Mantenha arquivos que necessitem de proteção fora do diretório raiz do middleware estático.