CVE-2026-118651 Falsificación de IP de cliente en el middleware Proxy de Echo
El middleware Proxy de Echo puede conservar un encabezado X-Real-IP provisto por el atacante y reenviarlo a un servicio upstream cuando Echo.IPExtractor no está configurado. Un cliente remoto puede hacer que los servicios upstream reciban una dirección de cliente falsificada, afectando controles de acceso por IP, limitación de tasa, registros de auditoría o restricciones geográficas. Corregido en Echo 5.4.0.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
labstack echo
>= 4.0.0, < 5.4.0
Qué hacer
- Verificá si usás echo y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
Echo is a Go web framework. From 4.0.0 until 5.4.0, the Proxy middleware can preserve an attacker-supplied X-Real-IP header and forward it to an upstream service when Echo.IPExtractor is not configured. A remote client can therefore make upstream services receive a spoofed client address, undermining IP-based access controls, rate limiting, audit logging, or geographic restrictions that trust Echo's forwarded identity. This issue is fixed in Echo 5.4.0.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.