Labstack

Labstack に関連する脆弱性 16

• 中 4.7 Echo has Arbitrary Scheme Injection in WWWRedirect/NonWWWRedirect Middlewares via X-Forwarded-Proto CVE-2026-118658 5:17
• 中 5.9 Echo: HTTPS Redirect and HSTS Bypass via Unconditional Trust of Forwarded Scheme Headers CVE-2026-118657 5:14
• 中 6.1 Echo has Open Redirect via Control-Character Prefix Defeating sanitizeURI CVE-2026-118656 5:12
• 中 5.9 Echo has a Static Middleware Double-Unescape Path Traversal CVE-2026-118655 5:03
• 中 5.9 Echo static file middleware route protection bypass via encoded dot-dot traversal CVE-2026-118654 4:59
• 中 5.3 Echo has Rate Limiter Bypass via Spoofed X-Forwarded-For Header in Default Configuration CVE-2026-118653 4:42
• 中 6.1 Echo vulnerable to Reflected Cross-Site Scripting (XSS) via unsanitized JSONP callback in Context.JSONP / Context.JSONPBlob CVE-2026-118652 4:35
• 中 5.3 Echo: Reverse Proxy Forwards Attacker-Supplied X-Real-IP to Upstream by Default CVE-2026-118651 4:30
• 高 7.5 Echoのmiddleware.Staticに認証を回避される脆弱性 Echoのmiddleware.Staticで、%2Fでエンコードしたパスによりルートやグループのミドルウェアによる保護を回避され、静的ルート配下のファイルに届く可能性があります。影響を受けるのは4.16.0より前と5.4.0より前のEchoで、4.16.0および5.4.0で修正されています。修正版への更新を優先してください。global mountの構成で保護が効くかは資料内で食い違っているため、詳しい条件は公表されていません。最新の情報を確認してください。 CVE-2026-118650 4:25
• 中 5.3 Echo has CSRF Protection Bypass via MethodOverride Rewriting POST to Safe Method CVE-2026-118266 4:21
• 中 5.3 Echo: X-Real-IP extractor trusts the header value instead of the sending peer CVE-2026-118265 4:03
• 重大 9.1 解説あり Echo Proxyでルート認可を回避される脆弱性、修正版あり Go製のWebフレームワークEchoのProxy middlewareに、ルートごとの認証・認可をすり抜けられる脆弱性が見つかりました。Echoをリバースプロキシや社内ゲートウェイとして使い、認可をEchoのルートだけに頼っている組織は影響を受けます。4.16.1または5.4.1へ更新し、バックエンド側にも独立した認可があるかを確認してください。 CVE-2026-118264 4:03
• 中 6.3 Echo: BodyDump can discard BodyLimit overflow errors for unknown-length requests CVE-2026-118263 4:01
• 高 8.2 Echoのプロキシに接続が残り続ける脆弱性、DoSのおそれ Echoのプロキシ機能で、WebSocketクライアントが切断された後もハンドラーや接続が解放されず残ることがあり、繰り返されるとサービス妨害(DoS)につながるおそれがあります。影響を受けるのはv4.15.0からv4.16.0、およびv5.0.0からv5.4.0です。修正版はv4.16.1とv5.4.1で、アップグレードで対応できます。 CVE-2026-118262 4:00
• 高 8.2 Echo v4のDecompressに巨大展開で大量のメモリやCPUを消費される脆弱性 Echo v4のオプション機能であるDecompressミドルウェアには、gzip圧縮されたリクエストの展開後のサイズに上限がない脆弱性があります。小さなリクエストでも大量のメモリやCPUを消費され、サービス拒否(DoS)が起きるおそれがあります。v4.16.0までが対象で、修正版のv4.16.1へ更新してください。 CVE-2026-118261 3:58
• 高 8.2 Echo v4のBodyDumpに脆弱性、大量のリクエストでサービス停止のおそれ Echo v4のオプション機能BodyDumpは、リクエストとレスポンスの本文を上限なしでメモリに保持するため、大量のリクエストでメモリを使い果たし、サービス拒否の状態になるおそれがあります。影響を受けるのはv4.16.0までで、v4.16.1に修正版が公開されています。BodyDumpを使っている場合は、修正版への更新を優先して検討してください。 CVE-2026-118260 3:56