CVE-2026-118658

Nome do Software Vulnerável e Versões Afetadas Echo versões anteriores a 4.15.2 Echo versões anteriores a 5.1.1

Description A função Scheme() no framework web Echo confia nos cabeçalhos de requisição X-Forwarded-Proto, X-Forwarded-Protocol e X-Url-Scheme sem validar se os valores são esquemas web suportados. Os middlewares WWWRedirect() e NonWWWRedirect() utilizam esse valor não sanitizado para construir um cabeçalho de resposta Location. Um invasor que controle esses cabeçalhos pode injetar esquemas de URI arbitrários, como javascript, data, vbscript, file, ftp, ssh, telnet ou gopher, resultando em redirecionamentos abertos ou envenenamento de cache quando a aplicação não está atrás de um proxy que remova esses cabeçalhos.

Recommendations Atualize o Echo para a versão 4.15.2 ou posterior. Atualize o Echo para a versão 5.1.1 ou posterior. Como medida paliativa temporária, configure o proxy de borda para sobrescrever ou remover os cabeçalhos de requisição X-Forwarded-Proto, X-Forwarded-Protocol e X-Url-Scheme.