#echo

深度解析

Echo 的 Proxy 中间件在 WebSocket 升级被拒绝后，仍保留通往上游的原始隧道；该连接上的后续 HTTP 请求跳过 Echo 路由器和路由中间件，从而绕过仅在 Echo 路由上实施的身份验证。GitHub Advisory Database 将其评为严重，CVSS v4.0 9.1；Echo 自身公告则评为中危。2026 年 10 月 22 日发布的 v4.16.1 和 v5.4.1 已修复。目前尚无已知的公开概念验证或在野利用。