GitHub 安全公告库 (GHSA)·2026-10-24 04:49· 4 小时前精选AI 评分58

Echo 修复被拒绝的 WebSocket 升级绕过路由级访问控制的问题

Echo: Rejected WebSocket upgrades can bypass Echo route-level access controls

AI 导读

Echo 的 Proxy 中间件在客户端请求 WebSocket 升级时，会先建立原始隧道，再校验上游是否接受升级；若上游返回普通 HTTP 响应并保持连接，后续请求会绕过 Echo 路由与路由级中间件直接转发到上游，从而绕过仅在路由上实施的认证或授权。

为什么值得看

通告说明了被拒绝的 WebSocket 升级如何绕过 Echo 路由级鉴权，并给出 v4.16.1 与 v5.4.1 的修复版本。