PT-2026-41687
CVE-2026-45135
·
تاريخ النشر
2026-05-18
·
تاريخ التحديث
2026-09-20
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Caddy من 2.7.0 إلى 2.11.2
الوصف
تستخدم دالة
splitPos() الخاصة بنقل FastCGI في modules/caddyhttp/reverseproxy/fastcgi/fastcgi.go ميزة search.IgnoreCase الخاصة بمكتبة golang.org/x/text/search بشكل خاطئ عندما يحتوي مسار الطلب على بايتات غير ASCII. ويؤدي ذلك إلى عيبين: مشكلة في تدفق التحكم حيث تسمح متغير match قديم بمعاملة الملفات غير النصية كملفات نصية، ومشكلة في تكافؤ Unicode حيث يتم تحويل الأحرف المشابهة لغير أحرف ASCII إلى أحرف ASCII (على سبيل المثال، معاملة .𝗽𝗵𝗽 على أنها .php). في عمليات النشر التي يمكن للمهاجم فيها تحميل أو وضع محتوى في ملفات يتم تقديمها عبر FastCGI، يمكن استغلال هذه الثغرات عن طريق إنشاء عنوان URL محدد لتحقيق تنفيذ التعليمات البرمجية عن بُعد.التوصيات
التحديث إلى الإصدار 2.11.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾