CVE-2026-65600 in Traefik
Zusammenfassung
von VulDB • 22.07.2026
Traefik-Versionen = v3.6.0 = v3.7.0 <= v3.7.6 enthalten eine Authentifizierungsumgehung durch Path Traversal in der ReplacePathRegex-Middleware. Wenn die ReplacePathRegex-Middleware mit einem regulären Ausdruck konfiguriert ist, der benutzerkontrollierte Pfadsegmente ohne obligatorischen Pfadtrenner erfasst (z. B. Regex "^/api(.*)", Ersetzung "/$1"), leitet die Middleware den ersetzten Pfad an das Backend weiter, ohne zu validieren, ob er seiner normalisierten Form entspricht. Ein nicht authentifizierter Remote-Angriff kann eine manipulierte Anfrage senden (z. B. GET /api../admin), die einen unnormierten Pfad wie /../admin erzeugt, der von einem Backend, das Pfade normiert, in eine geschützte Route aufgelöst wird und dabei die Authentifizierungsmiddleware umgeht. Behoben in v2.11.52, v3.6.23 und v3.7.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.