CVE-2026-27589 in caddy
Riassunto
di VulDB • 18/06/2026
Caddy è una piattaforma di estensibilità del server che utilizza TLS per impostazione predefinita. Prima della versione 2.11.1, l'API admin locale (di default in ascolto su `127.0.0.1:2019`) espone un endpoint `POST /load` in grado di modificare lo stato del sistema, il quale sostituisce l'intera configurazione in esecuzione. Quando la enforcement dell'origine non è abilitata (`enforce_origin` non configurato), l'endpoint admin accetta richieste cross-origin (ad esempio da contenuti web controllati dall'attaccante nel browser della vittima) e applica una configurazione JSON fornita dall'attaccante. Ciò può modificare le impostazioni del listener admin e alterare il comportamento del server HTTP senza l'intento dell'utente. La versione 2.11.1 contiene la correzione per questo problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.