Podatności Caddy
3 znanych podatności CVE w Caddy, przetłumaczonych i ocenionych.
- CVE-2026-52846Średnie
Caddy przed wersją 2.11.4 zawiera podatność w funkcji szablonowej stripHTML, która nie usuwa w sposób niezawodny wszystkich znaczników HTML z ciągów wejściowych. Nieprawidłowo sformatowany HTML, taki jak <<>img src=x onerror=alert()>, może ominąć logikę usuwania znaczników, potencjalnie pozostawiając niebezpieczną treść w danych wyjściowych.
- CVE-2026-52845Wysokie
Caddy przed wersją 2.11.4 zawiera podatność w mechanizmie forward_auth copy_headers, która pozwala zdalnemu klientowi na ominięcie usuwania nagłówka tożsamości i wstrzyknięcie własnego nagłówka do CGI/PHP-FastCGI. Problem wynika z różnicy w normalizacji nagłówków HTTP (zamiana myślników na podkreślenia) między Caddy a PHP/FastCGI.
- CVE-2026-52844Wysokie
Caddy przed wersją 2.11.4 na Windows nieprawidłowo obsługuje separatory ścieżek w matcherach ścieżek, co pozwala ominąć ochronę dostępu do katalogów. Niezautoryzowany atakujący zdalnie może uzyskać dostęp do chronionych zasobów.