CVE-2026-52845
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Caddy przed wersją 2.11.4 zawiera podatność w mechanizmie forward_auth copy_headers, która pozwala zdalnemu klientowi na ominięcie usuwania nagłówka tożsamości i wstrzyknięcie własnego nagłówka do CGI/PHP-FastCGI. Problem wynika z różnicy w normalizacji nagłówków HTTP (zamiana myślników na podkreślenia) między Caddy a PHP/FastCGI.
Ocena ryzyka
Atakujący może podszyć się pod uwierzytelnionego użytkownika lub grupę, co prowadzi do nieautoryzowanego dostępu do aplikacji PHP/FastCGI za Caddy. Może to skutkować eskalacją uprawnień, kradzieżą danych lub naruszeniem integralności systemu.
Rekomendacja
Niezwłocznie zaktualizuj Caddy do wersji 2.11.4 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz funkcję forward_auth copy_headers lub zastosuj reguły WAF blokujące nagłówki z podkreśleniami.
Inne podatności w Caddy
Zobacz wszystkie- CVE-2026-52846Średnie
Caddy przed wersją 2.11.4 zawiera podatność w funkcji szablonowej stripHTML, która nie usuwa w sposób niezawodny wszystkich znaczników HTML z ciągów wejściowych. Nieprawidłowo sformatowany HTML, taki jak <<>img src=x onerror=alert()>, może ominąć logikę usuwania znaczników, potencjalnie pozostawiając niebezpieczną treść w danych wyjściowych.
- CVE-2026-52844Wysokie
Caddy przed wersją 2.11.4 na Windows nieprawidłowo obsługuje separatory ścieżek w matcherach ścieżek, co pozwala ominąć ochronę dostępu do katalogów. Niezautoryzowany atakujący zdalnie może uzyskać dostęp do chronionych zasobów.
Oryginalny opis (angielski, źródło NVD)
Caddy is an extensible server platform that uses TLS by default. Prior to 2.11.4, forward_auth copy_headers deletes the exact client-supplied identity header before copying the trusted value from the auth gateway. But when the request later goes through php_fastcgi, Caddy normalizes HTTP headers into CGI variables by replacing - with _. This lets a client send an underscore alias that survives the forward_auth delete step but becomes the same PHP/FastCGI variable. Result: a remote client can inject or sometimes override identity/group headers trusted by PHP/FastCGI applications behind Caddy. This vulnerability is fixed in 2.11.4.