CVE-2026-45135
Açıklama
Caddy, varsayılan olarak TLS kullanan genişletilebilir bir sunucu platformudur. 2.7.0 ile 2.11.3 sürümleri arasında, modules/caddyhttp/reverseproxy/fastcgi/fastcgi.go dosyasındaki FastCGI taşımasının splitPos() fonksiyonu, istek yolu ASCII dışı bir bayt içerdiğinde golang.org/x/text/search paketini search.IgnoreCase ile hatalı kullanmaktadır. Bu yedekleme mekanizmasındaki iki farklı kusur, bir saldırganın Caddy'nin FastCGI ayırmasını yanıltarak .php olmayan (veya yapılandırılmış diğer split_path uzantıları dışındaki) bir dosyanın betik olarak işlenmesini sağlamasına olanak tanır. Saldırganın FastCGI aracılığıyla sunulan bir dosyaya içerik yerleştirebildiği herhangi bir dağıtımda (yüklemeler, dosya depolama vb.), bu durum, söz konusu kusurlardan birini tetikleyen bir URL oluşturularak uzaktan kod çalıştırmaya yükseltilebilir. Bu güvenlik açığı 2.11.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- caddyserver caddy2.11.3 ya da sonraki bir sürüm
- github.com/caddyserver/caddy/v22.11.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| caddyserver caddy | 2.7.0 ≤ v < 2.11.3 | 2.11.3 |
| github.com/caddyserver/caddy/v2Go | 2.7.0 ≤ v < 2.11.3 | 2.11.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.