Echo v4 Decompress 中介軟體未限制 gzip 解壓大小，易導致 DoS 攻擊（CVE-2026-118261）

Echo 是一個 Go 語言的網頁框架。從 4.0.0 到 4.16.1，Echo v4 的可選 Decompress 中介軟體會在不限制展開大小的情況下，將 gzip 解碼後的請求流暴露出來。當處理器讀取或繫結一個小型壓縮請求時，可能會膨脹為非常大的主體，消耗過多記憶體或 CPU，並允許重複或並發請求導致服務拒絕。此中介軟體預設未啟用，僅限制壓縮請求大小並不限制解碼後大小。此問題已於 4.16.1 修復。

影響

受影響產品

以下產品受到 CVE-2026-118261 漏洞影響。即使 cvefeed.io 已知受影響產品的精確版本，資訊並未在下表中呈現。

通用漏洞評分系統（Common Vulnerability Scoring System）是一套標準化框架，用於評估軟體及系統漏洞的嚴重性。我們從各來源收集並顯示每個 CVE 的 CVSS 分數。

將 Echo v4 更新至 4.16.1 或更高版本以修復解壓縮漏洞。

• 將 Echo v4 更新至 4.16.1。
• 審查中介軟體設定以處理解壓縮。
• 對解壓縮後的資料設定輸入大小限制。
• 若未使用，考慮停用解壓縮功能。

此處列出精選外部連結，提供關於 CVE-2026-118261 的深入資訊、實用解決方案及有價值的工具。

雖然 CVE 標識具體漏洞例項，CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-118261 與以下 CWE 相關：

Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，描述了對手利用 CVE-2026-118261 弱點時所採用的常見特徵與方法。

我們掃描 GitHub 倉儲以偵測新的概念驗證漏洞。以下清單為已在 GitHub 釋出的公開漏洞與概念驗證，按最近更新時間排序。

結果僅限於前 15 個倉儲，因為可能會影響效能。

以下清單為在文章中提及CVE-2026-118261漏洞的新聞。

以下表格列出CVE-2026-118261漏洞隨時間所做的變更。

漏洞歷史細節有助於瞭解漏洞的演變，並辨識可能影響嚴重性、可利用性或其他特徵的最新變更。

• 新 CVE 已收到 由 [email protected]

  十月. 28, 2026

  動作	型別	舊值	新值
  新增	描述		Echo 是一個 Go 網頁框架。從 4.0.0 到 4.16.1，Echo v4 的可選 Decompress 中介軟體會將 gzip 解碼後的請求流暴露出來，且未限制其展開大小。小型壓縮請求在處理器讀取或繫結時可能展開為極大的主體，消耗過多記憶體或 CPU，並允許重複或同時請求造成拒絕服務。該中介軟體預設未啟用，僅限制壓縮請求大小並不限制解碼後大小。此問題已在 4.16.1 修復。
  新增	CVSS V4.0		AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  新增	CWE		CWE-400
  新增	CWE		CWE-409
  新增	受影響		已收到新的受影響值。 <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118261.json">CVE-2026-118261</a>
  新增	參考		https://github.com/labstack/echo/commit/3fb0ba7e17645bb65611e2a08875d0a2f65c421f
  新增	參考		https://github.com/labstack/echo/releases/tag/v4.16.1
  新增	參考		https://github.com/labstack/echo/security/advisories/GHSA-h7wr-284f-5qvc

EPSS 為每日估計在未來 30 天內觀測到利用活動的機率。 以下圖表顯示該漏洞的 EPSS 分數歷史。