CVE-2026-118261
Echo: Decompress permits unbounded gzip expansion in v4
Что произошло
Echo is a Go web framework. From 4.0.0 until 4.16.1, Echo v4's opt-in Decompress middleware exposes a gzip-decoded request stream without limiting its expanded size. A small compressed request can expand into a very large body when a handler reads or binds it, consuming excessive memory or CPU and allowing repeated or concurrent requests to cause denial of service. The middleware is not enabled by default, and limiting only the compressed request size does not bound the decoded size. This issue is fixed in 4.16.1.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
labstack / echo
{
"status": "affected",
"version": ">= 4.0.0, < 4.16.1"
}github.com/labstack/echo/v4 go
Диапазон источника: >= 4.0.0, < 4.16.1
Первая исправленная версия по источнику: 4.16.1
CVSS: оценки и векторы
CVSS 4.0 · cve8.2
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS 4.0 · security-advisories@github.com8.2
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"ghsa",
"nvd"
],
"title": {
"source": "cve",
"received_at": "2026-10-29T21:10:51.510782+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-29T21:10:51.510782+00:00"
},
"affected": [
"cve",
"ghsa"
],
"published": {
"source": "cve",
"received_at": "2026-10-29T21:10:51.510782+00:00"
},
"solutions": [],
"references": [
"cve",
"ghsa",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-29T21:10:51.510782+00:00"
},
"workarounds": [],
"configurations": []
}Хронология записи
- Данные обновлены29.10.2026, 04:00
- Данные обновлены28.10.2026, 22:30
- Появились сведения об исправлении28.10.2026, 22:01
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-118651 Echo: Reverse Proxy Forwards Attacker-Supplied X-Real-IP to Upstream by Default labstack / echo · github.com/labstack/echo/v5 | Средний | 5.3 | — | Патч | 28.10.2026 | |
| CVE-2026-118265 Echo: X-Real-IP extractor trusts the header value instead of the sending peer labstack / echo · github.com/labstack/echo/v5 | Средний | 5.3 | — | Патч | 28.10.2026 | |
| CVE-2026-118655 Echo: Static Middleware Double-Unescape Path Traversal labstack / echo · github.com/labstack/echo/v5 | Средний | 5.9 | — | Патч | 28.10.2026 | |
| CVE-2026-118656 Echo: Open Redirect via Control-Character Prefix Defeating sanitizeURI labstack / echo · github.com/labstack/echo/v5 | Средний | 6.1 | — | Патч | 28.10.2026 | |
| CVE-2026-118263 Echo: BodyDump can discard BodyLimit overflow errors for unknown-length requests labstack / echo · github.com/labstack/echo/v5 | Средний | 6.3 | — | Патч | 28.10.2026 |