Veille sécuritéBackend & données
P4Moyenne
Dans Echo, MethodOverride peut transformer une requête POST en méthode sûre, notamment GET, avant que le middleware CSRF ne l’évalue. Si l’ordre des middlewares permet cette séquence, un gestionnaire modifiant l’état peut être atteint sans validation CSRF.
Go
IdentifiantCVE-2026-118266
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifv5.4.0; v4.16.0
Source : GHSA-r7w9-592q-9vg4 — Echo
Analyse technique
La méthode de remplacement n’est pas limitée aux méthodes non sûres; le contrôle CSRF se fonde ensuite sur la méthode réécrite.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28T19:53:36Z, dans la période demandée.
ImpactUne requête intersite peut atteindre un gestionnaire d’état sans validation du jeton CSRF dans la configuration décrite.
Versions affectéesv5 >= 5.0.0 et < 5.4.0; v4 < 4.16.0
Version corrigéev5.4.0; v4.16.0
ContournementÉviter de placer MethodOverride avant CSRF dans la chaîne concernée et empêcher les remplacements vers des méthodes sûres.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-28T19:53:36Z
Mise à jour2026-10-28T19:53:37Z
Action recommandée
Mettre à niveau vers Echo v5.4.0 ou v4.16.0 et vérifier l’ordre ainsi que la configuration des middlewares MethodOverride et CSRF.
Sources
Priorisation DFS : P4 · 1 source(s).