CVE-2026-41263 in Traefik
Resumen
por VulDB • 2026-05-20
Traefik es un proxy inverso HTTP y equilibrador de carga. Antes de las versiones 2.11.43, 3.6.14 y 3.7.0-rc.2, existe una vulnerabilidad de canal lateral por temporización en el middleware BasicAuth de Traefik que permite a un atacante enumerar nombres de usuario válidos mediante las diferencias en el tiempo de respuesta. La variable destinada a contener un secreto de respaldo de tiempo constante siempre se resuelve como una cadena vacía, lo que provoca que la comparación de tiempo constante se interrumpa prematuramente en microsegundos en lugar de realizar una evaluación completa de bcrypt. Esto restaura el oráculo de temporización original y hace posible distinguir a los usuarios existentes de los no existentes midiendo los tiempos de respuesta de autenticación. Este problema ha sido corregido en las versiones 2.11.43, 3.6.14 y 3.7.0-rc.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.