CVE-2026-118260：Echo BodyDump 允許無限制記錄請求與回應，導致記憶體耗盡

Echo 是一個 Go 語言的 Web 框架。從 4.0.0 到 4.16.1，Echo v4 的可選 BodyDump 中介軟體會在處理器執行前將完整的請求正文載入記憶體，並在回撥中保留完整的回應正文，且沒有捕獲限制。能夠使用 BodyDump 訪問路由的未經身份驗證的客戶端可以提交大型正文或影響大型回應，導致重複或同時分配，耗盡程序記憶體。BodyDump 預設未啟用，外部請求限制可能會降低請求端的暴露，但並未限制回應捕獲。此問題已於 4.16.1 修復。

影響

受影響產品

以下產品受CVE-2026-118260漏洞影響。 即使cvefeed.io瞭解受影響產品的精確版本，該資訊未在下表中呈現。

Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞嚴重度。 我們收集並顯示各來源的 CVSS 分數，對每個 CVE。

將 Echo 框架升級至 4.16.1 或更高版本以修復記憶體耗盡。

• 將 Echo 升級至 4.16.1。
• 若無法升級，請停用 BodyDump 中介軟體。
• 實作外部請求大小限制。

這裡列出精選外部連結，提供深入資訊、實用解決方案與相關工具，關於CVE-2026-118260。

CVE 用於識別特定漏洞例項，而 CWE 將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-118260 相關的 CWE 如下：

Common Attack Pattern Enumeration and Classification（CAPEC） 儲存攻擊模式，描述對手用來利用CVE-2026-118260弱點的常見屬性與方法。

我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列出已在 GitHub 釋出的公開漏洞與概念驗證，按最近更新時間排序。

結果僅限於前 15 個儲存庫，因為可能存在效能問題。

以下列表為文章中提及CVE-2026-118260漏洞的新聞。

以下表格列出CVE-2026-118260漏洞隨時間變更的紀錄。

漏洞歷史細節有助於瞭解漏洞演變，並辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。

• 新 CVE 已接收 由 [email protected]

  十月. 28, 2026

  動作	型別	舊值	新值
  新增	說明		Echo 是一個 Go Web 框架。從 4.0.0 到 4.16.1，Echo v4 的可選 BodyDump 中介軟體在處理器執行前將完整請求主體載入記憶體，並在回撥時保留完整回應主體，且無捕獲限制。未經授權的客戶端若能使用 BodyDump 的路由，可提交大型請求主體或影響大型回應，導致重複或同時分配，耗盡程序記憶體。BodyDump 預設未啟用，外部請求限制可降低請求端暴露，但不限制回應捕獲。此問題已於 4.16.1 修復。
  新增	CVSS V4.0		AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  新增	CWE		CWE-400
  新增	CWE		CWE-770
  新增	受影響		New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118260.json">CVE-2026-118260</a>
  新增	參考		https://github.com/labstack/echo/commit/3fb0ba7e17645bb65611e2a08875d0a2f65c421f
  新增	參考		https://github.com/labstack/echo/releases/tag/v4.16.1
  新增	參考		https://github.com/labstack/echo/security/advisories/GHSA-f48p-c9v4-h7xv

EPSS 是每日估算在未來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。