#echo

Analyse approfondie

Les passages à WebSocket refusés via le middleware Proxy d’Echo laissent un tunnel brut ouvert vers le serveur en amont. Les requêtes HTTP suivantes sur cette connexion évitent le routeur et les middlewares de route d’Echo, contournant ainsi l’authentification imposée uniquement sur ses routes. La GitHub Advisory Database classe la faille comme critique, CVSS v4.0 9.1, tandis qu’Echo la classe comme modérée. Corrigé dans v4.16.1 et v5.4.1, publiés le 22 octobre 2026. Aucune preuve de concept publique ni exploitation réelle n’est connue.