GHSA-cxf3-9h37-7rr8
Echo: atualizações de WebSocket rejeitadas podem contornar os controles de acesso ao nível da rota do Echo
O middleware Proxy do Echo selecionou um túnel bruto quando o cliente solicitou uma atualização do WebSocket, antes de validar se o upstream configurado a aceitou. Se o upstream retornou uma resposta HTTP comum e manteve a conexão ativa, solicitações HTTP subsequentes nessa conexão foram encaminhadas diretamente para o mesmo upstream sem passar pelo roteador do Echo ou pelo middleware específico da rota.
Traduzido automaticamente do inglês.
- github.com/labstack/echo/v4 (Go)
- Crítica
- CVSS 9.1
- Versão corrigida informada
O que fazer
Versão corrigida informada
Pacotes afetados
| Pacote | Afetadas | Corrigido em | Alerta |
|---|---|---|---|
| github.com/labstack/echo/v4 (Go) | >= 4.0.0, < 4.16.1 | 4.16.1 | GHSA-cxf3-9h37-7rr8 |
| github.com/labstack/echo/v5 (Go) | >= 5.0.0, < 5.4.1 | 5.4.1 | GHSA-cxf3-9h37-7rr8 |
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.1 (v4.0, pontuado por GitHub)
Linha do tempo
- O GitHub publicou o alerta GHSA-cxf3-9h37-7rr8 (crítica). Corrigido em 4.16.1, 5.4.1.