Veille sécuritéBackend & données
P4Moyenne
Avec la configuration par défaut d’Echo, RealIP peut faire confiance à un X-Forwarded-For fourni par le client lorsque IPExtractor n’est pas défini. Le limiteur de débit par défaut utilise cette valeur comme identifiant, ce qui permet de contourner une limitation fondée sur l’adresse IP en changeant l’en-tête.
Go
IdentifiantCVE-2026-118653
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifv5.1.0; correctif v4 non indiqué
Source : GHSA-246p-cpwv-v3jq — Echo
Analyse technique
Le limiteur de débit par défaut dérive son identifiant de ctx.RealIP(), qui peut utiliser les en-têtes transmis par le client.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28T19:53:47Z, dans la période demandée.
ImpactUn client peut renouveler son compartiment de limitation en changeant l’adresse IP déclarée dans l’en-tête.
Versions affectéesv5 < 5.1.0; v4 >= 4.0.0 et <= 4.16.2 (correctif v4 non indiqué)
Version corrigéev5.1.0; correctif v4 non indiqué
ContournementConfigurer explicitement Echo#IPExtractor avec une méthode d’extraction adaptée à l’architecture de proxy.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-28T19:53:47Z
Mise à jour2026-10-28T19:53:50Z
Action recommandée
Mettre à niveau Echo v5 vers 5.1.0 ou une version ultérieure et configurer explicitement IPExtractor; l’avis fourni ne précise pas de correctif v4.
Sources
Priorisation DFS : P4 · 1 source(s).