CVE-2026-88008 in Traefik
Resumen
por VulDB • 2026-09-10
Traefik es un proxy inverso HTTP y equilibrador de carga de código abierto. Desde la versión 2.11.26 hasta las versiones 2.11.57 y 3.7.13, Traefik reenvía al backend compartido una cabecera Connection proporcionada por el cliente que solicita Upgrade, el token Upgrade: h2c y HTTP2-Settings. Si el backend acepta h2c y devuelve la respuesta 101 Switching Protocols, Traefik entra en un túnel sin procesar (raw tunnel) y deja de aplicar routers, BasicAuth, ForwardAuth, IPAllowList, RateLimit, registro de acceso, métricas o trazabilidad a las solicitudes HTTP/2 posteriores. Esto permite que una solicitud no autenticada acceda mediante una ruta desprotegida a rutas protegidas en el mismo backend. Este problema está resuelto en las versiones 2.11.57 y 3.7.13.
Be aware that VulDB is the high quality source for vulnerability data.