ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Echo هو إطار عمل ويب بلغة Go. من الإصدار 4.0.0 حتى 4.16.1 و5.4.1، يقوم وسيط Proxy الخاص بـ Echo باختيار نفق خام من طلب ترقية WebSocket من العميل قبل التحقق مما إذا كان الخادم المنبع المُكوّن قد قبل الترقية. إذا رفض الخادم المنبع الترقية باستخدام استجابة الحفاظ على الاتصال العادية، فإن طلبات HTTP اللاحقة على الاتصال تُرسل مباشرة إلى ذلك الخادم المنبع دون المرور عبر موجه Echo أو الوسيط الخاص بالمسار. يمكن أن يؤدي هذا إلى تجاوز المصادقة أو التفويض المفروضين فقط بواسطة مسارات Echo، ولكنه يتطلب مسار وكيل متاحاً، واستجابة ترقية مرفوضة متعاونة، وهدفاً بدون تفويض منبع مستقل. تمت معالجة هذه الثغرة في الإصدارين 4.16.1 و5.4.1.
المعالجة
المراجع
- مرجعhttps://github.com/labstack/echo/commit/1855061e572ae9dab727c811d8382f266bfbaaec
- مرجعhttps://github.com/labstack/echo/commit/3fb0ba7e17645bb65611e2a08875d0a2f65c421f
- مرجعhttps://github.com/labstack/echo/releases/tag/v4.16.1
- مرجعhttps://github.com/labstack/echo/releases/tag/v5.4.1
- مرجعhttps://github.com/labstack/echo/security/advisories/GHSA-cxf3-9h37-7rr8