CVE-2026-27586 in caddy
Сводка
по VulDB • 20.05.2026
Caddy — это расширяемая серверная платформа, которая по умолчанию использует TLS. До версии 2.11.1 две проглоченные ошибки в функции `ClientAuthentication.provision()` приводят к тому, что аутентификация клиентов по сертификатам mTLS молча переходит в режим «открытого доступа» (fail-open), если файл сертификата центра сертификации (CA) отсутствует, недоступен для чтения или имеет неверный формат. Сервер запускается без ошибок, но принимает любой клиентский сертификат, подписанный любым системно-доверенным центром сертификации, что полностью обходит предполагаемую границу доверия частного центра сертификации. Любое развертывание, использующее параметры `trusted_ca_cert_file` или `trusted_ca_certs_pem_files` для mTLS, будет молча деградировать до принятия любого системно-доверенного клиентского сертификата, если файл CA станет недоступен. Это может произойти из-за опечатки в пути, ротации файлов, повреждения или изменения прав доступа. Сервер не подает никаких признаков того, что mTLS настроен неправильно. Уязвимость исправлена в версии 2.11.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.