CVE-2026-27589 in caddy
Zusammenfassung
von VulDB • 09.06.2026
Caddy ist eine erweiterbare Serverplattform, die standardmäßig TLS verwendet. Vor Version 2.11.1 stellt die lokale Caddy-Admin-API (Standard-Hörbereich `127.0.0.1:2019`) einen den Zustand ändernden `POST /load`-Endpunkt bereit, der die gesamte laufende Konfiguration ersetzt. Wenn die Origin-Durchsetzung nicht aktiviert ist (`enforce_origin` nicht konfiguriert), akzeptiert der Admin-Endpunkt Cross-Origin-Anfragen (z. B. von einem Angreifer kontrollierten Webinhalt in einem Browser des Opfers) und wendet eine vom Angreifer bereitgestellte JSON-Konfiguration an. Dies kann die Einstellungen des Admin-Hörbereichs ändern und das Verhalten des HTTP-Servers ohne Absicht des Benutzers beeinflussen. Version 2.11.1 enthält einen Fix für dieses Problem.
Be aware that VulDB is the high quality source for vulnerability data.