Veille sécuritéBackend & données
P3Élevée
Le middleware Static d’Echo peut servir un fichier sous une forme de chemin encodée alors que les protections de route ou de groupe ne s’appliquent pas à cette forme. Le problème concerne le montage global décrit dans l’avis et ne permet pas, selon les éléments fournis, de lire des fichiers hors de la racine statique.
Go
IdentifiantCVE-2026-118650
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctifv5.4.0; v4.16.0
Source : GHSA-375p-5qhx-8wq4 — Echo
Analyse technique
Le routeur interprète le chemin brut tandis que le middleware Static utilise un chemin décodé, ce qui permet une incohérence d’application des contrôles.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28T19:54:20Z, dans la période demandée.
ImpactDans la configuration décrite, un fichier de la racine statique peut être accessible sans le contrôle d’accès prévu sur la route correspondante.
Versions affectéesv5 < 5.4.0; v4 < 4.16.0
Version corrigéev5.4.0; v4.16.0
ContournementNe pas compter uniquement sur un middleware de route ou de groupe pour protéger les fichiers servis par un middleware Static global.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-10-28T19:54:20Z
Mise à jour2026-10-28T19:54:20Z
Action recommandée
Mettre à niveau vers Echo v5.4.0 ou v4.16.0 et vérifier les protections des fichiers servis par Static.
Sources
Priorisation DFS : P3 · 1 source(s).