PT-2026-23796 · Caddy · Caddy

Nucleiav · Publicado 2026-03-06 · Atualizado 2026-03-25 · CVE-2026-30851

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Caddy de 2.10.0 a 2.11.1

Descrição O Caddy é uma plataforma de servidor que utiliza TLS por padrão. Existe uma falha na funcionalidade forward auth em que a opção copy headers não remove os cabeçalhos fornecidos pelo cliente. Isso pode levar à injeção de identidade e a um escalonamento de privilégios potencial. O componente vulnerável é a função copy headers dentro do módulo forward auth.

Recomendações Atualize para a versão 2.11.2 do Caddy ou superior.

Exploit

Correção

LPE

Improper Authentication

Insufficient Verification of Data Authenticity

Enumeração de Fraquezas

CWE-287

CWE-345

Identificadores relacionados

CVE-2026-30851

GHSA-7R4P-VJF4-GXV4

GO-2026-4639

SUSE-SU-2026:1042-1

Produtos afetados

Caddy

Referências · 144

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/30xxx/CVE-2026-30851.json · Exploit
• https://github.com/caddyserver/caddy · Nota
• https://github.com/caddyserver/caddy/issues/6610 · Nota
• https://github.com/caddyserver/caddy/pull/6608 · Correção
• https://github.com/caddyserver/caddy/security/advisories/GHSA-7r4p-vjf4-gxv4 · Aviso do Fabricante
• https://github.com/caddyserver/caddy/pull/7545 · Correção
• https://suse.com/security/cve/CVE-2026-26998 · Nota
• https://suse.com/security/cve/CVE-2025-15558 · Nota
• https://suse.com/security/cve/CVE-2026-23999 · Nota
• https://suse.com/security/cve/CVE-2026-31807 · Nota
• https://suse.com/security/cve/CVE-2026-2808 · Nota
• https://suse.com/security/cve/CVE-2026-27616 · Nota
• https://suse.com/security/cve/CVE-2026-27900 · Nota
• https://suse.com/security/cve/CVE-2026-26194 · Nota
• https://suse.com/security/cve/CVE-2026-28512 · Nota