E
v5.4.4
プロキシのアイデンティティの強化 送信されたリクエストに接続:X-Real-IPが含まれると、プロキシは既得の X-Real-IP ヘッダを保持します。この値は、上流トランスポートを実行する前に、Goがホップ・バイ・ホップヘッダを削除した後で復元されます。同じ記録されたアイデンティティは 再試行や バランサー要求の交換で 保存され 保護は。..
E
v4.16.3
セキュリティと移行 プロキシの背後にあるアプリケーションは、アップグレードする前にEcho#IPExtractorを自分のプロキシを信頼するように設定する必要があります。エクストラクタがないと、プロキシの後ろのクライアントは、レート制限、IPベースのアクセス制御、ログ、プロキシ転送のためにそのアドレスを共有します。安全なデフォルトでは、クライアントが提供する IP ヘッダを無視します。このリリースで CVE-2026-118651: プロキシ a...
E
v5.4.3
セキュリティアップグレード v5.4.3 標準的なパスマッチングまたはアンスケープ構成でない暗号化された空きパスセグメントを含む静的ルートガードバイパスを修正する。確認された影響は 静的ルート内の保護ファイルへのアクセスですこの修正は、単一のコードと二重コードの先行スライスと保護されたディレクトリインデックスを含む、生や解読されたリクエストパスとワイルドカードの境界を検証します。助言:GHS...
E
v5.4.2
修正 大小小文字の不敏感な基本認証スキームの後ろにスペースが必要です。BasicX のような誤ったスキーマは、もはや認証認証に達したり、AllowedCheckLimit を消費したりしません。まだ有効な認証が必要です@Shubham-Padkonde さんのおかげですCSRF 検証で空のクッキートークンと空のクライアントトークンを拒否する。これは深層防衛であり 新しい安全勧告を導入するものではありません#31...
E
v4.16.2
修正 大小小文字の不敏感な基本認証スキームの後ろにスペースが必要です。BasicX のような誤ったスキーマは、もはや認証認証者を呼び出さない。まだ有効な認証が必要ですこれは v5 の修正を v4 の単一のヘッダー API に調整します###############################################################################################################################################################################################################################################################CSRF 検証で空のクッキートークンと空のクライアントトークンを拒否する。弁護団から。..
E
v5.4.1
セキュリティ修正 Github.com/labstack/echo/v5@v5.4.1 でアップグレードするExtractIPFromRealIPHeader で X-Real-IP を受容する前に送信ピアを検証し、その抽出器が設定されたときにクライアント IP スプーフィングを防止する。GHSA-h53f-rm2w-w7rg Go の HTTP リバース プロキシを通じて WebSocket のアップストリームアップグレード応答を検証する。拒否されたアップグレードは もうエコーのルーティングとルーティングを回避する 原始トンネルを残さない。..
E
v4.16.1
セキュリティ修正 Github.com/labstack/echo/v4@v4.16.1 でアップグレードする修正された golang.org/x/ 依存関係を使用するには、現在 1.26 以上が必要です。サポートされた、パッチ付きのGoツールチェーンのデプロイを作成します。Go の HTTP リバース プロキシを通じて WebSocket のアップストリームアップグレード応答を検証する。拒否されたアップグレードは、Echoルーティングとルーティングミドルウェアをバイパスする原始トンネルを残しません。GHSA-cxf3-9h37-7rr8...
E
V4.16.0
セキュリティ このリリースでは、いくつかのセキュリティの問題が修正されています。アップグレードが推奨されます。いくつかの修正は動作を変更します。下記の"アップグレードする前に確認すべき動作変更"を参照してください。要求スキーム: Context.Scheme() は、X-Forwarded-Proto,X-Forwarded-Protocol,X-Forwarded-Ssl,およびX-Url-Schemeのヘッダを、リクエストが直接ループバック、リンクローカル、プライベートネットワークアドレス、またはユニックスソケットから来る場合にのみ使用します。..
E
v5.4.0
セキュリティ このリリースでは、いくつかのセキュリティの問題が修正されています。アップグレードが推奨されます。いくつかの修正は動作を変更します。下記の"アップグレードする前に確認すべき動作変更"を参照してください。要求スキーム: Context.Scheme() は、X-Forwarded-Proto,X-Forwarded-Protocol,X-Forwarded-Ssl,およびX-Url-Schemeのヘッダを、リクエストが直接ループバック、リンクローカル、プライベートネットワークアドレス、またはユニックスソケットから来る場合にのみ使用します。..
E
v5.3.1
修正 #3043 の @JSap0914 で対応したハンドラー 404 を保存する #3043 の修正 #3049 の修正 #3049 でデフォルトルートで @aldas で覆われる 暗黙登録されたグループルートを許可すべきです 強化 ドック: #2968 の @KeloYuan によって HTTP バッジ URL を HTTPS に更新 ドック: #3046 の @hyorimitsu によって真の任意の方法のマッチングを反映する任意の godoc を修正する @zxysilent によって範囲を超えた整数ループを使用します。..
E
v5.3.0
グループミドルウェアロジック変更 PR #2996 は、暗黙の 404 ハンドラーを登録するグループで v4 行動に戻る。この動作を望まない場合は、グループに暗黙の 404 ハンドラーを望まない場合は、 e: = echo.NewWithConfig(echo.Config{NoGroupAutoRegister404Routes: true}) g: = e.Group("/api") その他の注目すべき改善: #3038 e の QUERY HTTP メソッド RFC 10008 のファーストクラスのサポートを追加します。..
E
v4.15.4
セキュリティ修正 GHSA-vfp3-v2gw-7wfq: 静的ファイル URL の暗号化されたパス分離器 (%2Fまたは%5C) はルートレベルのミドルウェア (例えばステティックファイルを公開します。StaticDirectoryHandler (Static/StaticFSで使用) と Staticミドルウェアの両方が影響を受ける。v5 のバックポート (#3016, v5.2.1 でリリースされた).@a-tt-om と @oran-gugu に 報告 ありがとうございました。やってみろ
E
v5.2.1
セキュリティは、静的ファイルでリリースされたメソッドとミドルウェアをデフォルトで逃れ路線を解除しないようにします。 そのため、ルーターが経路と静的メソッド/ミドルウェアを解釈する方法が一貫しています。次の状況で: // 0.// ファイル構造が与えられた: // private.txt // public/ // public/index.html // public/text.txt // public/admin/private.txt // 1.サーバーのルーツからファイル共有します。これは。..
E
v4.15.3 - 静的暗号化分離器路線バイパス修正 (GHSA-vfp3-v2gw-7wfq)
セキュリティ修正 (静的): #3011 の @vishr によってルートレベルのミドルウェアをバイパスする暗号化されたパスセパレータを拒絶する GHSA-vfp3-v2gw-7wfq の修正: 静的ファイル URL の暗号化されたパスセパレータ (%2F または %5C) はルートレベルのミドルウェア (例えばステティックファイルを公開します。StaticDirectoryHandler (Static/StaticFSで使用) と Staticミドルウェアの両方が影響を受ける。バックポート。..
E
v5.2.0 - 静的コード化分離器経路バイパス修正 (GHSA-vfp3-v2gw-7wfq)
セキュリティ修正 (静的): #3009 の @vishr でルートレベルのミドルウェアを回避する暗号化されたパスセパレータを拒絶する (静的): #3006 の @vishr でルートレベルのミドルウェア (#2599) を2回脱出要求しない。 GHSA-vfp3-v2gw-7wfq を修正する: 静的なファイル URL の暗号化されたパスセパレータ (%2F または %5C) はルートレベルのミドルウェア (例えばステティックファイルを公開します。ステティックディレク。..
E
v5.1.1 - Context.Scheme ((() はヘッダ値を検証する
セキュリティ Context.Scheme ((() は、この問題を報告した @shblue21 に感謝します。 - Context.Scheme はホストリダイレクトによって使用される誤った転送されたスキーマ値を受け入れます。改善 #2930 の @aldas によって golangci linter 構成を追加する #2936 の @EricGusmao によって StartConfig リスナー作成をコンテキスト認識する 修正 (lint): staticcheck の問題を解決し、改善。..
E
v4.15.2 - Context.Scheme ((() ヘッダの検証
セキュリティコンテキスト。スキーム (Scheme)) は、この問題を報告した @shblue21 に感謝します。全変更ログ: v4.15.1...v4.15.2
E
v5.1.0
セキュリティ この変更は API 契約を破らないが、論理/行動に壊滅的な変更を導入する。c.RealIP() を使っている場合は注意して https://echo.labstack.com/docs/ip-address を読みましょう。 e.IPExtractor が設定されていない限り、c.RealIP() は request.RemoteAddr を返します。潜在的に偽造可能なヘッダはもはやデフォルトで使用されません。IPExtractorをプロで設定する。..
E
v4.15.1
変更点 CSRF: 古いトークンベースの CSRF 保護ハンドラーをサポートします。 @aldas in #2905 によるトークンをテンプレートにレンダリングします。
E
v5.0.4 小さい修正と改善
What's Changed README の未使用のインポート 'エラー' を削除 @kumapower17 の例 #2889 で Graceful シャットダウンを修正: http.Server.Serve が戻った後、 graceful シャットダウン ルーチンが #2898 の @aldas で終了するまで待つ必要があります。
E
v5.0.3 セキュリティ (Windows の静的ミドルウェア ディレクトリ 横断)
デフォルトのEchoファイルシステムが使用されているとき、StaticミドルウェアでWindowsの下のディレクトリ横断脆弱性を修正。@shblue21 (#2891) が報告しています。これは:WindowsがOSミドルウェアとして使用されている場合に適用されます。StaticConfig.ファイルシステムはゼロ (デフォルト) echoです。ファイルシステムは明示的に設定されていません (デフォルト) 完全な変更日記: v5.0.2...v5.0.3