Consumo Descontrolado de Recursos en el Middleware BodyDump del Framework Echo (CVE-2026-118260)

Se ha identificado una vulnerabilidad de consumo descontrolado de recursos y asignación de memoria sin límites (Uncontrolled Resource Consumption / Allocation of Resources Without Limits, clasificadas como CWE-400 y CWE-770) en el marco de trabajo web Echo para Go. La falla se localiza en el middleware optativo BodyDump, el cual lee por completo los cuerpos de las solicitudes en memoria antes de que se ejecuten los controladores y retiene de forma indefinida los cuerpos completos de las respuestas para las devoluciones de llamada (dump callback) sin aplicar ningún tipo de límite de tamaño.

Vector de Ataque: Remoto vía red; un cliente no autenticado puede enviar solicitudes o generar respuestas de gran tamaño de manera reiterada para forzar la retención masiva de datos en la memoria del servidor.

Impacto: Disponibilidad alta. Conduce al agotamiento total de la memoria RAM del proceso del servidor (memory exhaustion), provocando la caída repentina del servicio o una denegación de servicio (DoS) generalizada.

Parches y Actualizaciones: actualizar el framework Echo a la versión 4.16.1 o superior, donde se han introducido límites y correcciones en el manejo del búfer de BodyDump.

Mitigaciones Temporales: deshabilitar el uso del middleware BodyDump en la aplicación si no es estrictamente necesario para la depuración o el registro de trazas.

Buenas Prácticas: implementar mecanismos estrictos de limitación de tamaño en las peticiones entrantes a nivel de servidor web o proxy inverso, y diseñar arquitecturas con políticas de control de recursos y throttling para prevenir abusos de memoria.

https://nvd.nist.gov/vuln/detail/cve-2026-118260