Debian DLA-4857-1 : correctifs de sécurité pour Caddy

Veille sécuritéBackend & données

P4Non déterminée

Debian a publié DLA-4857-1 pour corriger plusieurs problèmes de sécurité dans Caddy, notamment des contournements de contrôles d’accès, l’exécution d’un fichier inattendu par un backend FastCGI, l’injection d’en-têtes d’identité, la reconfiguration non autorisée de l’API d’administration et une faille XSS. Pour CVE-2026-52845, le correctif rejette désormais les en-têtes de requête dont le nom contient un caractère de soulignement, ce qui peut nécessiter d’adapter les clients ou configurations qui en dépendent.

IdentifiantCVE-2026-52845

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif2.11.4

Source : DLA-4857-1 caddy – security update

Analyse technique

L’avis décrit plusieurs problèmes dans Caddy, mais ne permet pas d’attribuer à CVE-2026-52845 les autres impacts énumérés. Le correctif associé à cette CVE supprime tous les en-têtes de requête dont le nom contient un soulignement, sans option de désactivation.

Impact, versions et correctif

Événement datéAvis DLA-4857-1 daté du 2026-10-24, dans la période demandée ; la mesure concernant les en-têtes est explicitement associée à CVE-2026-52845.

ImpactLes problèmes décrits dans l’avis peuvent permettre des contournements de contrôles d’accès, des actions non autorisées ou une XSS ; l’impact propre à CVE-2026-52845 n’est pas détaillé séparément.

Version corrigée2.11.4

ContournementPour CVE-2026-52845, remplacer les noms d’en-tête comportant des soulignements par leur forme avec traits d’union si ces en-têtes doivent être transmis par Caddy.

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,45% · percentile 37,8%

Publication2026-10-24

Mise à jour2026-10-24

Action recommandée

Installer la mise à jour Debian pour Caddy et vérifier les intégrations qui transmettent des en-têtes contenant des soulignements.

Sources

DLA-4857-1 caddy – security update

Priorisation DFS : P4 · 1 source(s).