CVE-2026-25766
Təsvir
Echo bir Go veb freymvorkudur. Windows əməliyyat sistemində 5.0.0-dan 5.0.2-yə qədər olan versiyalarda, standart fayl sistemindən istifadə edən Echo-nun `middleware.Static` komponenti geri slash-lər (`\`) vasitəsilə yol keçidinə (path traversal) şərait yaradır və bu, autentifikasiya olunmamış şəkildə statik kök qovluğundan kənardakı uzaq faylların oxunmasını mümkün edir. `middleware/static.go` faylında sorğu edilən yol unescape edilir və `path.Clean` (URL semantikası) ilə normallaşdırılır. `path.Clean` funksiyası `\` simvolunu yol ayırıcısı kimi qəbul etmir, buna görə də `..\` ardıcıllıqları təmizlənmiş yolda qalır. Nəticədə alınan yol daha sonra `currentFS.Open(...)` funksiyasına ötürülür. Fayl sistemi standart (nil) saxlanıldıqda, Echo `os.Open` funksiyasını çağıran `defaultFS`-dən istifadə edir (`echo.go:792`). Windows-da `os.Open` funksiyası `\` simvolunu yol ayırıcısı kimi qəbul edir və `..\` ardıcıllığını həll edərək statik kök qovluğundan kənara çıxmağa imkan verir. Versiya 5.0.3 bu problemi aradan qaldırır.
Necə düzəltmək olar
- labstack echo5.0.3 və ya daha yeni versiya
- github.com/labstack/echo/v55.0.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| labstack echo | 5.0.0 ≤ v < 5.0.3 | 5.0.3 |
| github.com/labstack/echo/v5Go | 5.0.0 ≤ v < 5.0.3 | 5.0.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.