Vincent550102

**Nome do Software Vulnerável e Versões Afetadas** Caddy versões anteriores a 2.11.4 **Description** No Windows, existe uma divergência entre a forma como os correspondentes de caminho (path matchers) do Caddy e o `file server` lidam com os caminhos de requisição. A função `MatchPath.MatchWithError()` compara o `r.URL.Path` utilizando semânticas de caminho de URL e não normaliza barras invertidas (``) para barras normais (`/`). Consequentemente, um caminho de requisição como `/privatesecret.txt` é tratado como se estivesse fora do escopo `/private/*`. No entanto, o `file server` resolve posteriormente esse mesmo caminho utilizando `SanitizedPathJoin()` e, como o Windows trata barras invertidas como separadores de diretório, o arquivo dentro do diretório protegido é entregue. Isso permite que um cliente remoto não autenticado ignore rotas de autorização ou negação com escopo de caminho, levando à exposição de arquivos sensíveis dentro da subárvore protegida. **Recommendations** Atualize para a versão 2.11.4. Como medida paliativa temporária, restrinja o acesso ao módulo `file server` ou evite o uso de rotas de autorização/negação com escopo de caminho para proteger diretórios sensíveis no Windows até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Caddy versões anteriores a 2.11.4 **Descrição** Existe um problema onde o `forward auth copy headers` exclui cabeçalhos de identidade fornecidos pelo cliente antes de copiar valores confiáveis de um gateway de autenticação. No entanto, quando as solicitações são processadas via `php fastcgi`, o Caddy normaliza os cabeçalhos HTTP em variáveis CGI, substituindo hifens (`-`) por sublinhados (` `). Isso permite que um cliente remoto envie um alias com sublinhado (por exemplo, `Remote Groups` em vez de `Remote-Groups`) que ignora a etapa de exclusão, mas resulta na mesma variável PHP/FastCGI (por exemplo, `HTTP REMOTE GROUPS`). Consequentemente, um cliente remoto pode injetar ou substituir cabeçalhos de identidade ou grupo confiáveis por aplicativos PHP/FastCGI atrás do Caddy, levando potencialmente à injeção de grupos/funções ou personificação de usuários. **Recomendações** Atualize para a versão 2.11.4. Como medida paliativa temporária, restrinja o uso do módulo `php fastcgi` ou do recurso `copy headers` do `forward auth` para cabeçalhos de identidade até que a atualização seja aplicada.