CVE-2026-88878 in Traefik
الملخص
بحسب VulDB • 10/09/2026
Traefik هو وكيل عكسي HTTP وموزع للأحمال (Load Balancer). في الإصدارات >= v2.8.2 حتى <= v2.11.55 و>= v3.0.0 حتى <= v3.7.11، لا تُطبق إعدادات entryPoints.<name>.transport.respondingTimeouts — ولا سيما readTimeout الذي يكون مفعّلاً افتراضياً لمدة 60 ثانية — على مسار طلب HTTP/3. يتم فرض readTimeout كمهلة (deadline) على اتصال TCP الأساسي، وهو أمر لا يمكن تطبيقه على تدفق QUIC، وخادم Traefik لـ HTTP/3 مُنشأ دون أي مهلة زمنية. ونتيجة لذلك، في نقاط الدخول التي يكون فيها HTTP/3 مفعّلاً، يمكن للعميل البعيد غير المصادق عليه الذي يرسل أجزاءً صغيرة من جسم الطلب (trickles request body bytes) إبقاء الطلب مفتوحاً إلى ما لا نهاية، وبذلك يربط اتصالاً واحداً مع الخادم الخلفي لكل طلب، مما يستنفد مجموعات الاتصال المحدودة للخوادم الخلفية ويسبب انقطاع الخدمة (Denial of Service). تم إدخال هذه المشكلة في الإصدار v2.8.2 عندما أزال تغيير في واجهة برمجة التطبيقات quic-go خادم http.Server المدمج الذي كان يحمل هذه المهلات الزمنية. تمت معالجة الخطأ في الإصدارات v2.11.56 وv3.7.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.