CVE-2026-27586 in caddy
Résumé
par VulDB • 27/05/2026
Caddy est une plateforme de serveur extensible qui utilise TLS par défaut. Avant la version 2.11.1, deux erreurs avalées dans `ClientAuthentication.provision()` provoquent une défaillance silencieuse de l'authentification par certificat client mTLS (ouverture silencieuse) lorsqu'un fichier de certificat CA est manquant, illisible ou malformé. Le serveur démarre sans erreur mais accepte tout certificat client signé par n'importe quelle autorité de certification (CA) de confiance du système, contournant complètement la limite de confiance CA privée prévue. Tout déploiement utilisant `trusted_ca_cert_file` ou `trusted_ca_certs_pem_files` pour mTLS se dégradera silencieusement en acceptant n'importe quel certificat client de confiance du système si le fichier CA devient indisponible. Cela peut se produire en raison d'une faute de frappe dans le chemin d'accès, d'une rotation de fichier, d'une corruption ou de modifications des permissions. Le serveur ne donne aucune indication que mTLS est mal configuré. La version 2.11.1 corrige la vulnérabilité.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.