#echo

Análisis a fondo

Las actualizaciones WebSocket rechazadas mediante el middleware Proxy de Echo dejan abierto un túnel directo al servidor de destino. Las solicitudes HTTP posteriores por esa conexión eluden el enrutador y el middleware de rutas de Echo, omitiendo la autenticación aplicada solo en sus rutas. GitHub Advisory Database lo califica como crítico, CVSS v4.0 9.1, mientras que el aviso de Echo lo considera moderado. Corregido en v4.16.1 y v5.4.1, publicadas el 22 de octubre de 2026. No se conocen pruebas de concepto públicas ni explotación en ataques reales.