Description
Ech0 是一个轻量级的 Web 应用框架，用于快速构建和部署 Web 服务，提供简洁的 API 接口和灵活的扩展能力。该产品广泛应用于中小型 Web 应用开发、API 服务搭建等场景。该漏洞存在于 /api/allusers 接口，未进行身份验证即可访问，返回系统中所有用户的详细信息，包括用户名、密码哈希、管理员权限等敏感数据，导致严重的信息泄露。
Ech0 /api/allusers 信息泄露漏洞（CVE-2026-33638）
PoC
None yet. Search at https://trap.biu.life/?ref=rssReferences
https://nvd.nist.gov/vuln/detail/CVE-2026-33638
https://github.com/lin-snow/Ech0/security/advisories/GHSA-m983-7426-5hrj
https://cve.imfht.com/detail/CVE-2026-33638
https://cve.scap.org.cn/vulnerability/VHN-363326
https://www.sentinelone.com/vulnerability-database/cve-2026-33638/
https://www.cvedetails.com/cve/CVE-2026-33638/
https://osv.dev/vulnerability/CVE-2026-33638