Veille sécuritéBackend & données
P4Faible
Dans certaines réponses d’upgrade WebSocket (HTTP 101), le reverse proxy Caddy peut transmettre au client des en-têtes hop-by-hop provenant de l’upstream au lieu de les supprimer. Cela peut permettre notamment l’injection d’en-têtes dans la réponse; les versions antérieures à 2.11.5 sont concernées et la mise à niveau vers 2.11.5 ou ultérieure est recommandée.
CaddyGo
IdentifiantCVE-2026-55458
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.11.5
Source : Avis de sécurité GitHub GHSA-8qx7-j2v2-x6q5
Analyse technique
Le chemin de traitement des réponses HTTP 101 retourne avant la suppression des en-têtes hop-by-hop effectuée sur le chemin des réponses ordinaires.
Impact, versions et correctif
Événement datéL’avis GitHub et la fiche associée indiquent une publication le 2026-10-28 à 19:49 UTC, soit le 2026-10-28 à 21:49 +02:00. Cette publication tombe dans la période demandée, qui se termine le 2026-10-29 à 00:00 +02:00.
ImpactDes en-têtes issus de la réponse de l’upstream, dont certains hop-by-hop, peuvent atteindre le client pendant une mise à niveau WebSocket. L’avis mentionne notamment des risques d’injection d’en-têtes et de détournement de connexion.
Versions affectéesgithub.com/caddyserver/caddy/v2 ≤ 2.11.4
Version corrigée2.11.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-28T19:49:33Z
Mise à jour2026-10-28T19:49:34Z
Détection / vérification
Vérifier les réponses HTTP 101 Switching Protocols transmises par le reverse proxy et rechercher des en-têtes hop-by-hop qui auraient dû être retirés.
Action recommandée
Mettre à niveau Caddy vers la version 2.11.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).