CVE-2026-118263 Descarte de errores de desbordamiento de BodyLimit en Echo vía BodyDump
Echo, framework web de Go, desde 5.0.0 hasta 5.4.1 permite que el middleware BodyDump de Echo v5 descarte un error de desbordamiento de BodyLimit en solicitudes de longitud desconocida cuando el límite de captura de BodyDump es menor que el umbral de BodyLimit. BodyDump drena el cuerpo restante ignorando errores de lectura y lo reemplaza con el prefijo capturado, por lo que una solicitud chunked HTTP/1.1 puede truncarse y procesarse con éxito aunque el cuerpo original superara el límite configurado. Corregido en…
CVSS 4.0
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 32
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
labstack echo
>= 5.0.0, < 5.4.1
Qué hacer
- Verificá si usás echo y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 4.0 · 6.3 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Echo is a Go web framework. From 5.0.0 until 5.4.1, Echo v5's BodyDump middleware can discard a BodyLimit overflow error for an unknown-length request when BodyDump's capture limit is below the BodyLimit threshold. BodyDump drains the remaining body while ignoring read errors and replaces it with the captured prefix, so an HTTP/1.1 chunked request can be truncated and processed successfully even though the original body exceeded the configured limit. Known-length requests rejected before BodyDump runs are unaffected, and the issue does not establish a general authentication bypass or denial of service. This issue is fixed in 5.4.1.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.