Veille sécuritéBackend & données
P3Élevée
Le proxy Echo pouvait conserver des gestionnaires, des goroutines de copie et des connexions après la déconnexion d’un client WebSocket lorsque l’upstream gardait sa connexion ouverte. Des connexions répétées pouvaient accumuler des ressources et provoquer un déni de service.
Go
IdentifiantAvis de sécurité
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifv4.16.1 (Echo v4); v5.4.1 (Echo v5)
Analyse technique
Le correctif utilise le reverse proxy HTTP de Go et ferme les deux côtés du tunnel lorsqu’un sens de communication se termine.
Impact, versions et correctif
Événement datéAvis GHSA publié le 2026-10-23 à 20:50:17Z, dans la période demandée.
ImpactL’accumulation de connexions et de goroutines peut épuiser les ressources et provoquer un déni de service.
Versions affectéesgithub.com/labstack/echo/v4 : >= 4.15.0, < 4.16.1 ; github.com/labstack/echo/v5 : >= 5.0.0, < 5.4.1
Version corrigéev4.16.1 (Echo v4); v5.4.1 (Echo v5)
ContournementDésactiver temporairement les routes proxy WebSocket ou imposer des durées de connexion et des limites de ressources adaptées côté frontend et upstream.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-23T20:50:17Z
Mise à jour2026-10-23T20:50:18Z
Détection / vérification
Examiner les routes proxy WebSocket et les délais ou limites de durée de vie des connexions; vérifier si des ressources restent retenues après la déconnexion d’un client.
Action recommandée
Mettre à niveau vers Echo v4.16.1 ou v5.4.1; avant la mise à niveau, appliquer les mesures de réduction des risques indiquées.
Sources
Priorisation DFS : P3 · 1 source(s).