CVE-2026-27586 in caddy
Sumário
de VulDB • 27/05/2026
O Caddy é uma plataforma de servidor extensível que utiliza TLS por padrão. Antes da versão 2.11.1, dois erros suprimidos em `ClientAuthentication.provision()` fazem com que a autenticação de certificado de cliente mTLS falhe silenciosamente, permitindo o acesso não autorizado, quando um arquivo de certificado CA está ausente, ilegível ou malformado. O servidor inicia sem erros, mas aceita qualquer certificado de cliente assinado por qualquer CA confiável do sistema, contornando completamente o limite de confiança da CA privada pretendida. Qualquer implantação que utilize `trusted_ca_cert_file` ou `trusted_ca_certs_pem_files` para mTLS degradará silenciosamente para a aceitação de qualquer certificado de cliente confiável do sistema se o arquivo CA se tornar indisponível. Isso pode ocorrer devido a um erro de digitação no caminho, rotação de arquivos, corrupção ou alterações de permissão. O servidor não fornece nenhuma indicação de que o mTLS está mal configurado. A versão 2.11.1 corrige a vulnerabilidade.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.