Les méthodes `Context.JSONP` et `Context.JSONPBlob` du framework Echo concaténaient le callback fourni sans validation, permettant une XSS réfléchie si une application transmettait une valeur contrôlée par l’utilisateur. Les branches concernées sont corrigées dans Echo v5.4.0 et v4.16.0 ; mettre à jour ou valider strictement le callback et éviter JSONP pour les données sensibles.
Source : GitHub Advisory GHSA-h9g5-28mm-hx3g
Analyse technique
Le callback est concaténé à la réponse servie comme JavaScript. Les versions corrigées limitent le callback à une valeur vide, un identifiant JavaScript ou un chemin d’identifiants et ajoutent `X-Content-Type-Options: nosniff`.
Impact, versions et correctif
Action recommandée
Mettre à jour Echo vers v5.4.0 ou v4.16.0 selon la branche utilisée.
Sources
Priorisation DFS : P4 · 2 source(s).