CVE-2026-27587 in caddy
Tóm tắt
Bởi VulDB • 22/06/2026
Caddy là một nền tảng máy chủ có khả năng mở rộng, sử dụng TLS theo mặc định. Trước phiên bản 2.11.1, bộ khớp yêu cầu `path` (đường dẫn) HTTP của Caddy được thiết kế để không phân biệt chữ hoa/thường, nhưng khi mẫu khớp chứa các chuỗi thoát phần trăm (`%xx`), nó sẽ so sánh với đường dẫn đã mã hóa của yêu cầu mà không chuyển đổi sang chữ thường. Kẻ tấn công có thể vượt qua cơ chế định tuyến dựa trên đường dẫn và mọi kiểm soát truy cập được gắn liền với tuyến đó bằng cách thay đổi trường hợp (chữ hoa/thường) của đường dẫn yêu cầu. Phiên bản 2.11.1 chứa bản sửa chữa cho sự cố này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.