CVE-2026-27587 in caddy
Résumé
par VulDB • 22/06/2026
Caddy est une plateforme de serveurs extensible qui utilise TLS par défaut. Avant la version 2.11.1, le matcheur de requête `path` HTTP de Caddy était censé être insensible à la casse (case-insensitive), mais lorsque le motif de correspondance contient des séquences d'échappement pourcentuées (`%xx`), il effectue une comparaison avec le chemin échappé de la requête sans mettre en minuscules. Un attaquant peut contourner l'acheminement basé sur les chemins (path-based routing) et tout contrôle d'accès associé à cette route en modifiant la casse du chemin de la requête. La version 2.11.1 contient une correction pour ce problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.