Veille sécuritéBackend & données
P4Moyenne
Les middlewares WWWRedirect et NonWWWRedirect peuvent utiliser sans validation une valeur X-Forwarded-Proto (ou un en-tête équivalent) pour construire la cible de redirection. Un client peut alors injecter un schéma arbitraire dans l’en-tête Location si le proxy en amont ne filtre pas ces en-têtes.
Go
IdentifiantCVE-2026-118658
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctifv5.1.1; v4.15.2
Source : GHSA-23wf-92cp-8pcj — Echo
Analyse technique
Le problème concerne WWWRedirect et NonWWWRedirect, pas les variantes HTTPS qui imposent le schéma.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-28T21:04:10Z, dans la période demandée.
ImpactLa réponse de redirection peut contenir un schéma contrôlé par le client, entraînant notamment une redirection vers une URI non HTTP(S).
Versions affectéesv5 < 5.1.1; v4 < 4.15.2
Version corrigéev5.1.1; v4.15.2
ContournementFaire écraser ou supprimer les en-têtes X-Forwarded-Proto, X-Forwarded-Protocol et X-Url-Scheme au niveau du proxy périphérique.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.7
Publication2026-10-28T21:04:10Z
Mise à jour2026-10-28T21:04:12Z
Action recommandée
Mettre à niveau vers Echo v5.1.1 ou v4.15.2 et s’assurer que le proxy de confiance filtre les en-têtes de schéma transféré.
Sources
Priorisation DFS : P4 · 1 source(s).