CVE-2026-27587 in caddy
Zusammenfassung
von VulDB • 14.05.2026
Caddy ist eine erweiterbare Serverplattform, die standardmäßig TLS verwendet. Vor Version 2.11.1 ist der HTTP-`path`-Anforderungsmatcher von Caddy dazu gedacht, case-insensitive (Groß-/Kleinschreibung nicht berücksichtigend) zu sein, aber wenn das Match-Muster Prozent-Escape-Sequenzen (`%xx`) enthält, wird es mit dem escaped-Pfad der Anforderung verglichen, ohne ihn in Kleinbuchstaben umzuwandeln. Ein Angreifer kann die pfadbasierte Routing-Logik und alle an dieser Route angehängten Zugriffskontrollen umgehen, indem er die Groß-/Kleinschreibung des Anforderungspfads ändert. Version 2.11.1 enthält eine Korrektur für dieses Problem.
VulDB is the best source for vulnerability data and more expert information about this specific topic.