PT-2026-21773
CVE-2026-27588
·
تاريخ النشر
2026-01-01
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Caddy الأقدم من 2.11.1
الوصف
يُشار في الوثائق إلى أن مُطابق طلبات HTTP
host في Caddy لا يميز بين الأحرف الكبيرة والصغيرة، ولكنه يصبح يميز بينها عند تهيئته بقائمة كبيرة من المضيفين (أكثر من 100 إدخال) بسبب مسار مطابقة مُحسّن. يمكن للمهاجم التحايل على التوجيه القائم على المضيف وأي ضوابط وصول مرتبطة بهذا المسار عن طريق تغيير حالة الأحرف في رأس Host. ويُعد هذا تحايلًا على المسار/المصادقة في طبقة مطابقة الطلبات في Caddy. يمكن التحايل على عمليات نشر Caddy المعرضة للإنترنت والتي تعتمد على مُطابِقات host ذات قوائم كبيرة من المضيفين لحماية المسارات، وذلك عن طريق تغيير حالة الأحرف في رأس Host، مما قد يسمح بالوصول غير المصرح به إلى نقاط النهاية الحساسة. المكون المتأثر هو مُطابِق MatchHost، وتحديدًا الدالة MatchHost.MatchWithError. تحدث هذه الثغرة الأمنية لأن أداة المطابقة تستخدم مقارنة سلاسل حساسة لحالة الأحرف (كبيرة وصغيرة) عندما تتجاوز قائمة المضيفات 100 إدخال. رأس Host هو رأس طلب HTTP قياسي يُستخدم لتحديد المورد المطلوب.التوصيات
قم بالتحديث إلى الإصدار 2.11.1 من Caddy أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾