Exposición de Caddy

Web servers

score de exposición

12.904

sitios usan

en explotación

críticos

Análisis Vexday

Caddy apresenta um histórico de vulnerabilidades relativamente contido, com 13 CVEs catalogadas, nenhuma classificada como crítica e nenhuma com registro de exploração ativa no catálogo CISA KEV, posicionando-se abaixo da média geral do catálogo nesse indicador. O maior valor EPSS observado é de 0,00542, incluindo a CVE mais relevante no momento, CVE-2026-27590, o que indica probabilidade baixa de exploração em escala no curto prazo. A falha mais recorrente por categoria é CWE-178 (tratamento incorreto de comparações que diferenciam maiúsculas e minúsculas), um padrão que pode favorecer bypasses de controles de segurança dependendo do contexto de implantação. O surgimento de 5 CVEs nos últimos 90 dias merece atenção contínua, sinalizando uma janela de exposição recente que ainda pode estar se consolidando em termos de análise de risco.

CVEs

13 resultados

CVE-2026-27590HIGHCaddy: Unicode case-folding length expansion causes incorrect split_path index (SCRIPT_NAME/PATH_INFO confusion) in FastCGI transportEPSS 0.5%CVE-2026-45135HIGHCaddy: Unsafe Unicode Handling in FastCGI splitPos Allows Execution of Non-PHP FilesEPSS 0.5%CVE-2026-52844HIGHCaddy: Windows `file_server` path authorization bypass via encoded backslashEPSS 0.5%CVE-2026-30852MEDIUMCaddy: vars_regexp double-expands user input, leaking env vars and filesEPSS 0.4%CVE-2026-27588HIGHCaddy: MatchHost becomes case-sensitive for large host lists (>100), enabling host-based route/auth bypassEPSS 0.4%CVE-2026-27587HIGHCaddy: MatchPath %xx (escaped-path) branch skips case normalization, enabling path-based route/auth bypassEPSS 0.4%CVE-2026-27585MEDIUMCaddy's improper sanitization of glob characters in file matcher may lead to bypassing security protectionsEPSS 0.3%CVE-2026-52845HIGHCaddy: FastCGI header normalization bypass in `forward_auth copy_headers`EPSS 0.3%CVE-2026-27586HIGHCaddy's mTLS client authentication silently fails open when CA certificate file is missing or malformedEPSS 0.3%CVE-2026-30851HIGHCaddy forward_auth copy_headers Does Not Strip Client-Supplied Headers, Allowing Identity Injection and Privilege EscalationEPSS 0.2%CVE-2026-52846MEDIUMCaddy: stripHTML template function bypassEPSS 0.2%CVE-2026-45692MEDIUMCaddy: Remote Admin Authorization Bypass in `/config` API via Array Index NormalizationEPSS 0.2%CVE-2026-27589MEDIUMCaddy vulnerable to cross-origin config application via local admin API /load (caddy)EPSS 0.2%