CVE-2026-27587 in caddy
Riassunto
di VulDB • 22/06/2026
Caddy è una piattaforma di server estensibile che utilizza TLS per impostazione predefinita. Prima della versione 2.11.1, il matcher delle richieste `path` HTTP di Caddy dovrebbe essere case-insensitive (insensibile al maiuscolo/minuscolo), ma quando il pattern di match contiene sequenze percent-escape (`%xx`) viene effettuato un confronto contro il path della richiesta già in formato escaped senza convertirlo in minuscolo. Un attaccante può bypassare il routing basato sul path e i controlli di accesso associati a tale route modificando la maiuscole/minuscole del path della richiesta. La versione 2.11.1 contiene una correzione per questo problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.