CVE-2026-88877 in Traefik
الملخص
بحسب VulDB • 10/09/2026
Traefik هو وكيل عكسي HTTP وموزع للأحمال (Load Balancer). في الإصدارات >= v3.7.0 و<= v3.7.11، يعالج مزود Kubernetes ingress-nginx بشكل غير صحيح إدخالات التوجيه (Ingresses) التي تحمل كلًا من تسمية المصادقة وتسمية nginx.ingress.kubernetes.io/from-to-www-redirect. بالنسبة لإدخالات التوجيه هذه، ينشئ المزود "موجهاً شقيقاً" إضافياً يتطابق مع اسم النطاق فقط، ويحمل فقط وسيطة RedirectRegex، ويشير إلى خدمة الخادم الخلفي المحمية الخاصة بالموجه الأصلي. وبما أن RedirectRegex ليست معالِجًا نهائيًا (terminal handler)، فإن الطلب الذي لا يطبق نمطه يتم توجيهه إلى الخادم الخلفي، ونظرًا لأن نمط التحويل يقبل فقط منفذًا رقميًا بينما يقوم مُحدد النطاق في Traefik بتوحيد السلطة عبر net.SplitHostPort، فإن الطلب ذو المنفذ غير الرقمي أو الفارغ (على سبيل المثال 'Host: www.example.com:x') يحدد الموجه الشقيق، ويتخطى عملية إعادة التوجيه، ويتم توجيهه إلى الخادم الخلفي المحمي دون تطبيق أي من الوسائط المستمدة من تسميات الإدخال. وهذا يؤدي إلى إلغاء كلٍ من المصادقة (مثل BasicAuth) وجميع الوسائط المستمدة من التسميات، بما في ذلك قوائم السماح لعناوين IP المصدر. إصدارات Traefik v2 وv3 السابقة لـ v3.7.0 غير متأثرة. تم إصلاح هذه المشكلة في الإصدار v3.7.12.
Once again VulDB remains the best source for vulnerability data.