CVE-2026-88012 in Traefik
Zusammenfassung
von VulDB • 10.09.2026
Traefik ist ein Open-Source-HTTP-Reverse-Proxy und Load Balancer. Von Version 2.8.2 bis 2.11.56 sowie 3.7.12 wenden HTTP/3-Eingänge (entryPoints) den Konfigurationswert `transport.respondingTimeouts.readTimeout` nicht an, da die Zeitüberschreitung auf einer TCP-Verbindung erzwungen wird und der HTTP/3-Server keine entsprechende QUIC-Stream-Ablaufzeit (deadline) besitzt. Ein unautorisierter Client kann eine langsame Anfrage mit einem langsam fließenden Body nutzen, um Daten unbegrenzt zu übermitteln, während die Anfrage und eine Upstream-Verbindung offen gehalten werden, wodurch Backends mit begrenzten Connection Pools erschöpft werden. Dieses Problem wurde in den Versionen 2.11.56 und 3.7.12 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.