CVE-2026-118657

Nome do Software Vulnerável e Versões Afetadas Echo versões anteriores a 4.16.0 Echo versões anteriores a 5.4.0

Descrição A função Context.Scheme confia incondicionalmente nos cabeçalhos de esquema encaminhados de qualquer cliente. Isso permite que um cliente que se conecte via HTTP simples alegue um esquema HTTPS, ignorando o mecanismo HTTPSRedirect ao fazer com que a requisição pareça segura. Além disso, quando utilizado atrás de um proxy de terminação TLS que encaminha cabeçalhos controlados por um invasor, um esquema HTTP alegado pode suprimir o cabeçalho Strict-Transport-Security, mesmo que o navegador receba a resposta via HTTPS. Isso ocorre porque o framework carece de uma configuração de fonte confiável para esses cabeçalhos.

Recomendações Atualizar para a versão 4.16.0. Atualizar para a versão 5.4.0.