https://alertas.dupin.com.ar/fabricante/labstack/Alertas de vulnerabilidades de labstack.esWed, 28 Oct 2026 22:10:04 +000010https://alertas.dupin.com.ar/cve/CVE-2026-118651/tg:61885Wed, 28 Oct 2026 22:10:04 +0000VulnerabilidadEl middleware Proxy de Echo puede conservar un encabezado X-Real-IP provisto por el atacante y reenviarlo a un servicio upstream cuando Echo.IPExtractor no está configurado. Un cliente remoto puede hacer que los servicios upstream reciban una dirección de cliente falsificada, afectando controles de acceso por IP, limitación de tasa, registros de auditoría o restricciones geográficas. Corregido en Echo 5.4.0.https://alertas.dupin.com.ar/cve/CVE-2026-118262/tg:61839Wed, 28 Oct 2026 19:39:17 +0000VulnerabilidadEcho, framework web de Go, desde 4.15.0 hasta 4.16.1 y 5.4.1 permite que el middleware Proxy retenga un manejador, goroutines de copia y conexiones de red después de que un cliente WebSocket se desconecta si el upstream mantiene su conexión abierta. El proxy espera ambas direcciones de copia sin cerrar de forma confiable la conexión par cuando una termina, incluso cuando una respuesta de actualización rechazada usa HTTP keep-alive. Conexiones repetidas pueden acumular recursos y causar denegación de servicio…https://alertas.dupin.com.ar/cve/CVE-2026-118263/tg:61838Wed, 28 Oct 2026 19:39:16 +0000VulnerabilidadEcho, framework web de Go, desde 5.0.0 hasta 5.4.1 permite que el middleware BodyDump de Echo v5 descarte un error de desbordamiento de BodyLimit en solicitudes de longitud desconocida cuando el límite de captura de BodyDump es menor que el umbral de BodyLimit. BodyDump drena el cuerpo restante ignorando errores de lectura y lo reemplaza con el prefijo capturado, por lo que una solicitud chunked HTTP/1.1 puede truncarse y procesarse con éxito aunque el cuerpo original superara el límite configurado. Corregido en…https://alertas.dupin.com.ar/cve/CVE-2026-118264/tg:61837Wed, 28 Oct 2026 19:39:16 +0000VulnerabilidadEcho, framework web de Go, desde 4.0.0 hasta 4.16.1 y 5.4.1 permite que el middleware Proxy seleccione un túnel sin procesar a partir de una solicitud de actualización WebSocket del cliente antes de verificar que el upstream configurado aceptó la actualización. Si el upstream rechaza la actualización con una respuesta keep-alive ordinaria, las solicitudes HTTP posteriores en la conexión se envían directamente a ese upstream sin pasar por el router de Echo ni por el middleware específico de ruta, lo que puede…https://alertas.dupin.com.ar/cve/CVE-2026-118265/tg:61836Wed, 28 Oct 2026 19:39:15 +0000VulnerabilidadEcho, framework web de Go, desde 5.0.0 hasta 5.4.1 permite que ExtractIPFromRealIPHeader de Echo v5 valide si el valor X-Real-IP provisto por el cliente pertenece a un rango confiable en lugar de validar el par de red directo. Un cliente que llega directamente a Echo, o a través de un proxy que conserva el encabezado, puede enviar una dirección de loopback o privada y hacer que Context.RealIP devuelva esa identidad falsificada, afectando listas de permitidos por IP, limitación de tasa, registros de auditoría o…