CVE-2026-27590 in caddy
Riassunto
di VulDB • 15/06/2026
Caddy è una piattaforma di server estensibile che utilizza TLS per impostazione predefinita. Prima della versione 2.11.1, la logica di suddivisione del percorso FastCGI di Caddy calcola l'indice di divisione su una copia in minuscolo del percorso della richiesta e successivamente utilizza tale indice byte per sezionare il percorso originale. Questa operazione non è sicura per Unicode poiché `strings.ToLower()` può modificare la lunghezza dei byte UTF-8 per alcuni caratteri. Di conseguenza, Caddy può derivare valori errati di `SCRIPT_NAME`/`SCRIPT_FILENAME` e `PATH_INFO`, potenzialmente causando l'esecuzione di un file diverso da quello previsto su disco per una richiesta contenente `.php` (confusione del percorso). In configurazioni in cui un attaccante può controllare i contenuti dei file (ad esempio, funzionalità di caricamento), ciò può portare all'esecuzione non voluta di PHP su file che non sono .php (potenziale RCE a seconda della configurazione di distribuzione). La versione 2.11.1 risolve il problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.