CVE-2026-118264 - Echo：被拒絕的 WebSocket 升級可繞過 Echo 路由級存取控制
CVE-2026-118264 - Echo: Rejected WebSocket upgrades can bypass Echo route-level access controls
Echo 框架的 Proxy 中介軟體在 WebSocket 升級被拒時，可能允許後續 HTTP 請求直接到上游，繞過 Echo 路由層的授權檢查。
- 受影響版本：4.0.0‑4.16.1、5.0.0‑5.4.1
- 修復方式：升級至 4.16.1 或 5.4.1
- 安全影響：可繞過路由級認證或授權
此 CVE 影響 Echo 代理中介軟體，可繞過路由許可權，需升級至 4.16.1 或 5.4.1 以防止未授權存取。
譯文尚未完整，完整內容請切換至原文。
Echo 是一個 Go 語言的網路框架。從 4.0.0 到 4.16.1 以及 5.4.1，Echo 的 Proxy 中介軟體會在確認已設定的上游伺服器接受升級前，先從客戶端的 WebSocket 升級請求中選取一個原始通道。如果上游伺服器以普通的 keep‑alive 回應拒絕升級，之後在此連線上的 HTTP 請求將直接送往該上游，而不會經過 Echo 的路由器或路由特定的中介軟體。這可能繞過僅由 Echo 路由執行的認證或授權，但需要可存取的 proxy 路由、協同的拒絕‑升級回應，以及目標不具備獨立上游授權。此問題已於 4.16.1 與 5.4.1 修復。
影響
受影響產品
以下產品受到 CVE-2026-118264 漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，該資訊並未在下表中呈現。
| ID | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Labstack | echo |
Common Vulnerability Scoring System（CVSS）是一套標準化的框架，用於評估軟體與系統漏洞的嚴重程度。 我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 關鍵 | [email protected] |
將 Echo 的 Proxy 中介軟體更新至已修復的版本，以防止繞過認證/授權檢查。
- 將 Echo 更新至 4.16.1 或更高版本。
- 將 Echo 更新至 5.4.1 或更高版本。
在此，您將找到一份精選的外部連結清單，提供關於 CVE-2026-118264 的深入資訊、實用解決方案與有價值的工具。
雖然 CVE 會識別具體的漏洞例項，CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-118264 與以下 CWE 相關：
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-118264 weaknesses.
We scan GitHub repositories to detect new proof‑of‑concept exploits. Following list is a collection of public exploits and proof‑of‑concepts, which have been published on GitHub (sorted by the most recently updated).
Results are limited to the first 15 repositories due to potential performance issues.
The following list is the news that have been mentioned CVE-2026-118264 vulnerability anywhere in the article.
The following table lists the changes that have been made to the CVE-2026-118264 vulnerability over time.
Vulnerability history details can be useful for understanding the evolution of a vulnerability, and for identifying the most recent changes that may impact the vulnerability's severity, exploitability, or other characteristics.
-
New CVE Received By [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 Echo 是一個 Go 語言的 Web 框架。從 4.0.0 到 4.16.1 與 5.4.1，Echo 的 Proxy 中介軟體會在確認設定好的上游已接受升級之前，先從客戶端 WebSocket 升級請求中選取原始隧道。如果上游以普通保活回應拒絕升級，後續在該連線上的 HTTP 請求將直接送往該上游，而不會通過 Echo 的路由器或路由特定中介軟體。這可能繞過僅由 Echo 路由執行的認證或授權，但需要可存取的代理路由、合作的拒絕升級回應，以及目標沒有獨立的上游授權。此問題已在 4.16.1 與 5.4.1 修復。 新增 CVSS V4.0 AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CWE CWE-444 新增 CWE CWE-863 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118264.json">CVE-2026-118264</a> 新增 參考 https://github.com/labstack/echo/commit/1855061e572ae9dab727c811d8382f266bfbaaec 新增 參考 https://github.com/labstack/echo/commit/3fb0ba7e17645bb65611e2a08875d0a2f65c421f 新增 參考 https://github.com/labstack/echo/releases/tag/v4.16.1 新增 參考 https://github.com/labstack/echo/releases/tag/v5.4.1 新增 參考 https://github.com/labstack/echo/security/advisories/GHSA-cxf3-9h37-7rr8
EPSS 是對未來 30 天內觀測到利用活動的機率的每日估計。下圖顯示了該漏洞的 EPSS 分數歷史。