Më 23 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-cxf3-9h37-7rr8 për një dobësi me rrezikshmëri kritike (CVSS 9.1) në paketën github.com/labstack/echo/v4 të ekosistemit Go. Dobësia prek gjithsej 2 paketa.
Paketat e prekura
- github.com/labstack/echo/v4 (Go) — versionet e prekura:
>= 4.0.0, < 4.16.1; versioni me rregullim:4.16.1 - github.com/labstack/echo/v5 (Go) — versionet e prekura:
>= 5.0.0, < 5.4.1; versioni me rregullim:5.4.1
Detaje
- Rrezikshmëria: Kritike (CVSS 9.1)
- CWE: CWE-444 (Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')), CWE-863 (Incorrect Authorization)
- Identifikuesit: GHSA-cxf3-9h37-7rr8
Përmbledhja zyrtare
Echo: Kërkesat e refuzuara për kalim në WebSocket mund të anashkalojnë kontrollet e aksesit në nivel rruge. Middleware-i Proxy i Echo zgjidhte një tunel të drejtpërdrejtë kur klienti kërkonte kalimin në WebSocket, përpara se të verifikonte nëse serveri upstream i konfiguruar e pranonte atë. Nëse upstream kthente një përgjigje të zakonshme HTTP dhe e mbante lidhjen aktive, kërkesat pasuese HTTP në atë lidhje përcilleshin drejtpërdrejt te i njëjti upstream, pa kaluar përmes ruterit të Echo ose middleware-ve specifike të rrugës. Kjo mund të anashkalojë autentikimin ose autorizimin e zbatuar vetëm në rrugët e Echo. Shfrytëzimi kërkon një rrugë proxy të aksesueshme dhe një upstream që refuzon kalimin në WebSocket…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin github.com/labstack/echo/v4, përditësojeni sa më shpejt në versionin 4.16.1 ose më të ri.
