CVE-2026-27586

Caddy standart olaraq TLS istifadə edən genişləndirilə bilən server platformasıdır. Versiya 2.11.1-dən əvvəl, `ClientAuthentication.provision()` funksiyasındakı iki udulmuş xəta (swallowed errors), CA sertifikat faylı çatışmadıqda, oxuna bilmədikdə və ya yanlış formatda olduqda mTLS klient sertifikatı autentifikasiyasının səssiz şəkildə uğursuz olmasına və açıq qalmasına səbəb olur. Server xətasız işə düşür, lakin sistem tərəfindən etibar edilən hər hansı bir CA tərəfindən imzalanmış bütün klient sertifikatlarını qəbul edir ki, bu da nəzərdə tutulan şəxsi CA etibar sərhədini tamamilə yan keçir. mTLS üçün `trusted_ca_cert_file` və ya `trusted_ca_certs_pem_files` istifadə edən hər hansı tətbiq, CA faylı əlçatmaz olduqda, səssiz şəkildə sistem tərəfindən etibar edilən hər hansı klient sertifikatını qəbul etmə dərəcəsinə enir. Bu, yoldakı yazı xətası, fayl rotasiyası, korlanma və ya icazələrin dəyişdirilməsi səbəbindən baş verə bilər. Server mTLS-in yanlış konfiqurasiya edildiyinə dair heç bir göstərici vermir. Versiya 2.11.1 bu zəifliyi aradan qaldırır.