CVE-2026-52846: caddyserver caddy

csirt@kutim:~/threat-intel/cve/CVE-2026-52846

CVSS 4.2 · Medium EPSS 0,25%

Kerentanan Improper Encoding or Escaping of Output pada caddyserver caddy. Skor CVSS 3.1 4.2 (Medium) menurut github.com.

Deskripsi (NVD)

Caddy is an extensible server platform that uses TLS by default. Prior to 2.11.4, Caddy’s stripHTML template function cannot reliably remove all HTML tags from input strings. Certain malformed HTML, such as <<>img src=x onerror=alert()>, can bypass the tag-stripping logic, potentially leaving dangerous content in the output if it is later rendered as HTML. This may allow client-side XSS in cases where untrusted strings are rendered unsafely. This vulnerability is fixed in 2.11.4.

Rincian

Terbit di NVD: 23 Juni 2026
Terakhir diubah: 29 Juni 2026
Status NVD: Analyzed
CVSS 3.1: 4.2 (Medium), sumber github.com
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-116: Improper Encoding or Escaping of Output
EPSS (30 hari): 0,25% peluang dieksploitasi; lebih tinggi dari 14,9% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
caddyserver	caddy	Semua versi sebelum 2.11.4

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://github.com/caddyserver/caddy/security/advisories/GHSA-vcc4-2c75-vc9v exploit · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.