Vulnerabilidad en caddy-defender de JasonLovesDoggo (CVE-2026-46415)

El plugin Caddy Defender es un middleware para Caddy que permite a los usuarios bloquear o manipular solicitudes basándose en la dirección IP del cliente. Antes de la versión 0.10.1, Caddy Defender utilizaba “r.RemoteAddr” al evaluar si una solicitud debía ser bloqueada. “RemoteAddr” es la dirección del par inmediato conectado a Caddy. En implementaciones donde Caddy está detrás de un proxy de confianza, CDN o balanceador de carga, el par inmediato suele ser el proxy, no el cliente original. Caddy resuelve la dirección del cliente original en su variable de solicitud “client_ip” después de aplicar la política “trusted_proxies” configurada, pero Defender no utilizaba ese valor. Como resultado, los clientes de rangos de dirección IP bloqueados podían eludir a Defender al acceder a Caddy a través de un proxy de confianza cuya propia dirección IP no estaba bloqueada. Esto afecta a las implementaciones que utilizan Defender detrás de proxies de confianza y esperan que aplique el bloqueo basándose en la dirección IP real del cliente. El problema se soluciona en la versión 0.10.1 haciendo que Defender prefiera la variable de solicitud “client_ip” resuelta de Caddy cuando esté disponible. Defender recurre a “RemoteAddr” solo cuando Caddy no ha proporcionado una dirección IP de cliente resuelta. No existe una solución alternativa completa en las versiones afectadas de Defender para implementaciones que dependen de la resolución de la dirección IP del cliente por parte del proxy de confianza de Caddy. Hasta la actualización, los usuarios afectados deben aplicar un bloqueo de dirección IP equivalente en el proxy de confianza, CDN, balanceador de carga, cortafuegos u otra capa perimetral antes de que el tráfico llegue a Caddy. Las implementaciones donde Caddy recibe tráfico directamente de los clientes, sin un proxy de confianza intermedio, no se ven afectadas por esta elusión.