Veille sécuritéBackend & données
P4Moyenne
Le proxy Echo peut transmettre tel quel au serveur amont un en-tête X-Real-IP fourni par le client lorsque IPExtractor n’est pas configuré. Cela peut fausser les contrôles d’accès fondés sur l’adresse IP, la limitation de débit et les journaux d’audit.
Go
IdentifiantCVE-2026-118651
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifv5.4.0
Source : GHSA-99jh-6h7p-pp36 — Echo
Analyse technique
En configuration par défaut, une valeur X-Real-IP entrante peut être conservée et relayée à l’amont.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28T19:53:24Z, dans la période demandée.
ImpactLes contrôles d’accès IP, la limitation de débit, la géolocalisation et les journaux de l’amont peuvent se fonder sur une adresse falsifiée.
Versions affectéesv5 < 5.4.0; v4 >= 4.0.0 et <= 4.16.2 (correctif v4 non indiqué)
Version corrigéev5.4.0
ContournementConfigurer Echo#IPExtractor.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-28T19:53:24Z
Mise à jour2026-10-28T19:53:25Z
Action recommandée
Mettre à niveau Echo v5 vers 5.4.0 ou configurer explicitement IPExtractor; aucun correctif v4 n’est précisé dans l’avis fourni.
Sources
Priorisation DFS : P4 · 1 source(s).