Echo v5 X-Real-IP 提取器漏洞修复

Echo v5 的 X-Real-IP 提取器存在信任请求头值的问题：ExtractIPFromRealIPHeader 校验的是 X-Real-IP 中的地址是否属于受信范围，而非直连网络对端的地址，因此不可信客户端可提供回环或私有地址，使 c.RealIP() 在默认信任选项下返回该地址。GitHub 安全公告库（GHSA）称，利用该漏洞需要攻击者能直连 Echo，或中间代理原样透传攻击者的 X-Real-IP 值。 影响范围为 v5.0.0 至 v5.4.0 的全部 v5 版本；使用默认直连 IP 提取器的应用不受影响。GHSA 称 v5.4.1 已修复该问题，建议升级至 v5.4.1。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。