Veille sécuritéBackend & données
P4Moyenne
Echo fait confiance à des en-têtes de schéma transmis par le client sans vérifier leur provenance, ce qui peut neutraliser la redirection HTTPS et empêcher l’ajout de l’en-tête HSTS. Les versions antérieures à 5.4.0 de la branche v5 et à 4.16.0 de la branche v4 sont indiquées comme affectées.
Go
IdentifiantCVE-2026-118657
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifgithub.com/labstack/echo/v5 5.4.0; github.com/labstack/echo/v4 4.16.0
Source : GHSA-2ffq-g2xg-c22p — Echo: HTTPS Redirect and HSTS Bypass via Unconditional Trust of Forwarded Scheme Headers
Analyse technique
`Context.Scheme()` accepte notamment `X-Forwarded-Proto`, `X-Forwarded-Protocol`, `X-Forwarded-Ssl` et `X-Url-Scheme` sans mécanisme de confiance configurable. Le risque est réduit si un proxy fiable remplace ces en-têtes et si l’application n’est pas accessible directement.
Impact, versions et correctif
Événement datéL’avis GitHub a été publié le 2026-10-28T21:04:52Z et mis à jour à 21:04:53Z, dans la période demandée; la publication est retenue comme date de l’événement.
ImpactUn attaquant peut contourner l’application de HTTPS et supprimer la protection HSTS, notamment lorsque l’application est directement accessible.
Versions affectéesgithub.com/labstack/echo/v5 < 5.4.0; github.com/labstack/echo/v4 < 4.16.0
Version corrigéegithub.com/labstack/echo/v5 5.4.0; github.com/labstack/echo/v4 4.16.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
Publication2026-10-28T21:04:52Z
Mise à jour2026-10-28T21:04:53Z
Action recommandée
Mettre à niveau vers Echo v5.4.0 ou v4.16.0, selon la branche utilisée; ne pas exposer directement l’application et faire remplacer les en-têtes de schéma par un proxy de confiance en attendant.
Sources
Priorisation DFS : P4 · 1 source(s).