PT-2026-21772
CVE-2026-27587
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Caddy الأقدم من 2.11.1
الوصف
من المفترض أن يكون مُطابق مسار طلبات HTTP في Caddy غير حساس لحالة الأحرف (كبير/صغير)، ولكن عندما يحتوي نمط المطابقة على تسلسلات الهروب النسبية (
%xx)، فإنه يقارنها بمسار الطلب الذي تم الهروب منه دون تحويله إلى أحرف صغيرة. قد يتيح ذلك للمهاجم التحايل على التوجيه القائم على المسار وأي ضوابط وصول مرتبطة بهذا المسار عن طريق تغيير حالة الأحرف في مسار الطلب. تحدث المشكلة لأن r.URL.EscapedPath() لا يتم تحويله إلى أحرف صغيرة، مما يؤدي إلى اختلافات في الأحرف الكبيرة والصغيرة في مسار الطلب، مما يتسبب في فشل مطابقة المسار المُهرب، حتى لو كان MatchPath مصممًا بحيث لا يميز بين الأحرف الكبيرة والصغيرة. يمكن للمهاجم التحايل على قيود المسار عن طريق تغيير حالة الأحرف في مسار الطلب.التوصيات
قم بالتحديث إلى الإصدار 2.11.1 من Caddy أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾