Veille sécuritéBackend & données
P4Moyenne
Le middleware Static d’Echo effectuait un décodage supplémentaire d’un chemin déjà décodé par net/http, permettant de reconstruire des séparateurs encodés et de contourner des protections de routes dans certaines configurations. Les éléments de l’avis précisent que la lecture hors de la racine statique n’a pas été reproduite.
Go
IdentifiantCVE-2026-118655
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifv5.2.0; v4.15.3
Source : GHSA-xwq5-6cqp-vx96 — Echo
Analyse technique
Le middleware appliquait PathUnescape à Request.URL.Path, déjà décodé par net/http.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28T21:04:39Z, dans la période demandée.
ImpactUn chemin encodé peut atteindre un fichier statique sous une route dont les contrôles d’accès ne sont pas appliqués comme prévu.
Versions affectéesv5 < 5.2.0; v4 < 4.15.3
Version corrigéev5.2.0; v4.15.3
ContournementGarder hors de la racine statique les fichiers qui doivent être protégés.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-28T21:04:39Z
Mise à jour2026-10-28T21:04:40Z
Action recommandée
Mettre à niveau vers Echo v5.2.0 ou v4.15.3, ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).