CVE-2026-118265 Suplantación de IP en Echo vía extractor X-Real-IP que confía en el encabezado
Echo, framework web de Go, desde 5.0.0 hasta 5.4.1 permite que ExtractIPFromRealIPHeader de Echo v5 valide si el valor X-Real-IP provisto por el cliente pertenece a un rango confiable en lugar de validar el par de red directo. Un cliente que llega directamente a Echo, o a través de un proxy que conserva el encabezado, puede enviar una dirección de loopback o privada y hacer que Context.RealIP devuelva esa identidad falsificada, afectando listas de permitidos por IP, limitación de tasa, registros de auditoría o…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 3
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
labstack echo
>= 5.0.0, < 5.4.1
Qué hacer
- Verificá si usás echo y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
Echo is a Go web framework. From 5.0.0 until 5.4.1, Echo v5's ExtractIPFromRealIPHeader validates whether the client-supplied X-Real-IP value belongs to a trusted range instead of validating the direct network peer. A client reaching Echo directly, or through a proxy that preserves the header, can supply a loopback or private address and have Context.RealIP return that spoofed identity. Applications using the extractor for IP allowlists, rate limiting, audit logs, or forwarding headers can consequently trust an attacker-controlled address; the default direct extractor and Echo v4 are unaffected. This issue is fixed in 5.4.1.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.