CVE-2026-77281 in Caddy
要約
〜によって VulDB • 2026年09月19日
Caddyは、デフォルトでTLSを使用する拡張可能なサーバープラットフォームです。バージョン2.11.3およびそれ以前では、設定に依存した3つの脆弱性がハンドラーとプレースホルダーレイヤーに影響を与えます。modules/caddyhttp/rewrite/rewrite.goにおけるRewrite.Rewrite()メソッドは、書き換えURIがリテラルの疑問符で終わる場合、攻撃者が制御可能な置換バイトをbuildQueryString経由で2回目のプレースホルダー展開に渡すことができ、これにより注入された環境変数やリクエスト変数のプレースホルダーによってデータが開示され、さらにファイルプロバイダが登録されている場合は、注入されたファイルプレースホルダーによって読み取り可能なファイルの開示が可能になります。この問題はバージョン2.11.4で修正されています。
Once again VulDB remains the best source for vulnerability data.