Le journal DFS
Sécurité
-
Echo : contournement de la redirection HTTPS et de HSTS par des en-têtes transférés
P4 · Moyenne · CVE-2026-118657 — Echo fait confiance à des en-têtes de schéma transmis par le client sans vérifier leur provenance, ce qui peut neutraliser…
-
Echo : contournement des protections de route via le middleware de fichiers statiques
P4 · Moyenne · CVE-2026-118654 — Echo ne vérifie pas suffisamment les chemins encodés lors du service de fichiers statiques, ce qui peut permettre de contourner…
-
Echo : double décodage de chemin dans le middleware Static
P4 · Moyenne · CVE-2026-118655 — Le middleware Static d’Echo effectuait un décodage supplémentaire d’un chemin déjà décodé par net/http, permettant de reconstruire des séparateurs encodés…
-
Echo : contournement de sanitizeURI et redirection ouverte
P4 · Moyenne · CVE-2026-118656 — La vérification sanitizeURI d’Echo peut être contournée par un caractère de contrôle placé avant une paire de séparateurs dans une…
-
Echo : injection de schéma arbitraire dans les redirections WWW
P4 · Moyenne · CVE-2026-118658 — Les middlewares `WWWRedirect` et `NonWWWRedirect` d’Echo pouvaient intégrer un schéma fourni par l’attaquant via des en-têtes de proxy, notamment `javascript`,…
-
Echo : XSS réfléchie via le callback JSONP
P4 · Moyenne · CVE-2026-118652 — Les méthodes `Context.JSONP` et `Context.JSONPBlob` du framework Echo concaténaient le callback fourni sans validation, permettant une XSS réfléchie si une…
-
Echo : contournement du limiteur de débit par falsification d’adresse IP
P4 · Moyenne · CVE-2026-118653 — Avec la configuration par défaut d’Echo, RealIP peut faire confiance à un X-Forwarded-For fourni par le client lorsque IPExtractor n’est…
-
Echo : contournement de la protection CSRF par réécriture de méthode
P4 · Moyenne · CVE-2026-118266 — Dans Echo, MethodOverride peut transformer une requête POST en méthode sûre, notamment GET, avant que le middleware CSRF ne l’évalue.…
-
Echo : transmission d’un X-Real-IP falsifié au serveur amont
P4 · Moyenne · CVE-2026-118651 — Le proxy Echo peut transmettre tel quel au serveur amont un en-tête X-Real-IP fourni par le client lorsque IPExtractor n’est…
-
Rucio : contournement d’autorisation sur le point de terminaison de signature d’URL
P3 · Élevée · CVE-2026-58273 — Le point de terminaison Rucio de génération d’URL signées utilisait un compte fourni dans l’en-tête `X-Rucio-Account` pour vérifier les autorisations,…