Caddy v2.11.4 Security Update: Windows Path Normalization & Rewrite Placeholder Injection Fix

Caddy v2.11.4 安全更新总结 漏洞概述 本次发布主要修复了多个安全相关漏洞，其中大部分归因于 token 预测器（token predictors）。此前超过 75% 的"安全"报告被判定为误报（false positives），因此团队开始屏蔽来自 spam 账户的报告。 影响范围 Caddy 服务器：路径匹配器中的 Windows 反斜杠规范化问题 Rewrite 模块：注入查询中的占位符重扩展问题 Templates 模块： 动作对畸形 HTML 的可靠移除 Caddy 核心：使用下划线的忽略头字段（可能破坏依赖该行为的旧应用） 修复方案 1. caddy：规范化路径匹配器中的 Windows 反斜杠（@Vincent550102） 2. rewrite：防止注入查询中的占位符重扩展（@WhiskerEnt） 3. templates：更可靠地移除畸形 HTML（@jmrsenchtz） 4. caddy：忽略使用下划线的头字段（@Vincent550102 报告，@dunlaug 提供补丁） 其他重要变更 reverseproxy：进一步防止因远端错误导致请求体关闭（@jamesharting） caddy：修复客户端认证（@gmholt） chore：依赖升级（@mohammed90） caddy：为不可靠的远程条目添加 List-Modified 头（@bb4242） caddy：修复 TLS 状态码和 ECN 路由重试（@broady） chore：清理措辞和拼写错误（@steadyyao） caddy：为 DialToro 网络覆盖添加回归测试（@eyupcanakman） caddy：为被拒绝的标识符添加候选占位符（@steadyyao） caddy：支持仅 IPv6-only 主机（@steadyyao） caddy：保留隐式 TLS 颁发者覆盖（@steadyyao） reverseproxy：通过 @WeidaiDeng 包装请求体以防止连接策略中的竞态条件 caddy：匹配 IDN 别名在连接组策略中（@dependabot） caddy：规范化路径匹配器中的 Windows 反斜杠（@Vincent550102） go.mod：更新 x/net（@steadyyao） rewrite：防止注入查询中的占位符重扩展（@WhiskerEnt） caddy：优化文件占位符的内存分配（@sleel092） caddy：跳过包含纯 ASCII SNI 值的 IDNA-to-ASCII 转换（@sleel092） encoder：优先使用标准 gzip 内容协商（@JuaHosting） httpcaddy：修复重复匹配器中的错误消息（@Brunotips） Patch：为 GHSA-vec4-2c75-vcby 的补丁（@jmrsenchtz） 新贡献者 @jamesharting（#7715） @bb4242（#7740） @broady（#7756） @bb4242（#7740） @eyupcanakman（#7758） @Vincent550102（#7763） @WhiskerEnt（#7767） @mohammed90（#7761） @JuaHosting（#7772） @sleel092（#7770） @Brunotips（#7780） @jmrsenchtz（#7785） 完整变更日志 v2.11.3 ... v2.11.4 贡献者 broady, dunlaug, 以及另外 14 位贡献者

Goal Reached Thanks to every supporter — we hit 100%!

Caddy v2.11.4 Security Update: Windows Path Normalization & Rewrite Placeholder Injection Fix

More from this source