Veille sécuritéBackend & données
P4Moyenne
Echo ne vérifie pas suffisamment les chemins encodés lors du service de fichiers statiques, ce qui peut permettre de contourner des protections de route et de lire des fichiers censés être protégés. Les versions antérieures à 5.4.0 de la branche v5 et à 4.16.0 de la branche v4 sont indiquées comme affectées.
Go
IdentifiantCVE-2026-118654
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifgithub.com/labstack/echo/v5 5.4.0; github.com/labstack/echo/v4 4.16.0
Analyse technique
Un chemin contenant des segments `..` encodés peut être normalisé après le contrôle du chemin et accéder à des fichiers servis par un montage statique. Le contournement concerne aussi une configuration non standard utilisant `UseEscapedPathForMatching=true`.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-28T21:04:46Z et mis à jour à 21:04:47Z, deux dates comprises dans la période demandée; la publication est retenue comme date de l’événement.
ImpactUn attaquant non authentifié peut lire des fichiers accessibles par le montage statique alors qu’une protection de route devait en restreindre l’accès.
Versions affectéesgithub.com/labstack/echo/v5 < 5.4.0; github.com/labstack/echo/v4 < 4.16.0
Version corrigéegithub.com/labstack/echo/v5 5.4.0; github.com/labstack/echo/v4 4.16.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-28T21:04:46Z
Mise à jour2026-10-28T21:04:47Z
Action recommandée
Mettre à niveau vers Echo v5.4.0 ou v4.16.0, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).