CVE-2026-45135

Nome do Software Vulnerável e Versões Afetadas Caddy versões 2.7.0 a 2.11.2

Descrição A função splitPos() do transporte FastCGI em modules/caddyhttp/reverseproxy/fastcgi/fastcgi.go utiliza incorretamente o recurso search.IgnoreCase da biblioteca golang.org/x/text/search quando o caminho de uma requisição contém bytes não-ASCII. Isso resulta em duas falhas: um problema de fluxo de controle onde uma variável match obsoleta permite que arquivos que não são scripts sejam tratados como tal, e um problema de equivalência Unicode onde caracteres semelhantes não-ASCII são convertidos em caracteres ASCII (por exemplo, tratando .𝗽𝗵𝗽 como .php). Em implementações onde um invasor pode fazer upload ou colocar conteúdo em arquivos servidos via FastCGI, essas falhas podem ser exploradas através da criação de uma URL específica para alcançar a execução remota de código.

Recomendações Atualize para a versão 2.11.3.