Veille sécuritéBackend & données
P4Moyenne
La vérification sanitizeURI d’Echo peut être contournée par un caractère de contrôle placé avant une paire de séparateurs dans une cible de redirection. Un navigateur peut normaliser cette valeur et interpréter la redirection comme une URL externe.
Go
IdentifiantCVE-2026-118656
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifv5.4.0; v4.16.0
Source : GHSA-v753-g4cw-jm48 — Echo
Analyse technique
Le contrôle examine les deux premiers octets; un caractère de contrôle initial peut déplacer les séparateurs et échapper à cette vérification.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28T21:04:22Z, dans la période demandée.
ImpactUne redirection censée rester locale peut être interprétée par le navigateur comme une redirection vers un site externe.
Versions affectéesv5 < 5.4.0; v4 < 4.16.0
Version corrigéev5.4.0; v4.16.0
ContournementMettre à niveau vers une version corrigée; éviter de construire des cibles de redirection à partir de chemins non fiables.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
Publication2026-10-28T21:04:22Z
Mise à jour2026-10-28T21:04:23Z
Action recommandée
Mettre à niveau Echo vers v5.4.0 ou v4.16.0.
Sources
Priorisation DFS : P4 · 1 source(s).