JVNDB-2026-004726

labstackのechoにおけるパストラバーサルの脆弱性

EchoはGoのWebフレームワークです。Windows上のバージョン5.0.0から5.0.2において、Echoのmiddleware.Staticがデフォルトのファイルシステムを使用する場合、バックスラッシュを介したパストラバーサルが可能であり、未認証のリモートから静的ルート外のファイルを読み取ることができます。middleware/static.goでは、要求されたパスがアンエスケープされ、path.Clean（URLセマンティクス）で正規化されます。path.Cleanはバックスラッシュをパス区切り文字として扱わないため、"..\"のシーケンスは正規化されたパスに残ります。その結果のパスはcurrentFS.Open(...)に渡されます。ファイルシステムがデフォルト（nil）のままだと、EchoはdefaultFSを使用し、これはos.Openを呼び出します（echo.go:792）。Windowsでは、os.Openがバックスラッシュをパス区切り文字として扱い、"..\"を解決するため、静的ルート外へのパストラバーサルが可能になります。この問題はバージョン5.0.3で修正されました。

labstack

• echo 5.0.0 以上 5.0.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Windows path traversal via backslash in middleware.Static default filesystem  Advisory  labstack/echo  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-25766

1. National Vulnerability Database (NVD) : CVE-2026-25766
2. 関連文書 : Fix staticmw by aldas  Pull Request #2891  labstack/echo  GitHub
3. 関連文書 : Merge pull request #2891 from aldas/fix_staticmw  labstack/echo@b1d4430  GitHub

• [2026年02月25日]
    掲載