Le journal DFS
Journal technique
-
Echo : contournement des protections de route via le middleware de fichiers statiques
P4 · Moyenne · CVE-2026-118654 — Echo ne vérifie pas suffisamment les chemins encodés lors du service de fichiers statiques, ce qui peut permettre de contourner…
-
Echo : double décodage de chemin dans le middleware Static
P4 · Moyenne · CVE-2026-118655 — Le middleware Static d’Echo effectuait un décodage supplémentaire d’un chemin déjà décodé par net/http, permettant de reconstruire des séparateurs encodés…
-
Echo : contournement de sanitizeURI et redirection ouverte
P4 · Moyenne · CVE-2026-118656 — La vérification sanitizeURI d’Echo peut être contournée par un caractère de contrôle placé avant une paire de séparateurs dans une…
-
Echo : injection de schéma arbitraire dans les redirections WWW
P4 · Moyenne · CVE-2026-118658 — Les middlewares `WWWRedirect` et `NonWWWRedirect` d’Echo pouvaient intégrer un schéma fourni par l’attaquant via des en-têtes de proxy, notamment `javascript`,…
-
Echo : XSS réfléchie via le callback JSONP
P4 · Moyenne · CVE-2026-118652 — Les méthodes `Context.JSONP` et `Context.JSONPBlob` du framework Echo concaténaient le callback fourni sans validation, permettant une XSS réfléchie si une…
-
Echo : contournement du limiteur de débit par falsification d’adresse IP
P4 · Moyenne · CVE-2026-118653 — Avec la configuration par défaut d’Echo, RealIP peut faire confiance à un X-Forwarded-For fourni par le client lorsque IPExtractor n’est…
-
Echo : contournement de la protection CSRF par réécriture de méthode
P4 · Moyenne · CVE-2026-118266 — Dans Echo, MethodOverride peut transformer une requête POST en méthode sûre, notamment GET, avant que le middleware CSRF ne l’évalue.…
-
Echo : transmission d’un X-Real-IP falsifié au serveur amont
P4 · Moyenne · CVE-2026-118651 — Le proxy Echo peut transmettre tel quel au serveur amont un en-tête X-Real-IP fourni par le client lorsque IPExtractor n’est…
-
Rucio : contournement d’autorisation sur le point de terminaison de signature d’URL
P3 · Élevée · CVE-2026-58273 — Le point de terminaison Rucio de génération d’URL signées utilisait un compte fourni dans l’en-tête `X-Rucio-Account` pour vérifier les autorisations,…
-
Contournement de l’authentification du tableau de bord ESPHome Device Builder dans l’extension Home Assistant
P3 · Élevée · CVE-2026-59177 — L’extension Home Assistant d’ESPHome Device Builder exposait sur le réseau local un site d’ingress sans authentification directe, normalement protégé par…