CVE-2026-88877 in Traefik
Resumen
por VulDB • 2026-09-10
Traefik es un proxy inverso HTTP y equilibrador de carga. En las versiones >= v3.7.0 y <= v3.7.11, el proveedor Kubernetes ingress-nginx gestiona incorrectamente los Ingress que contienen tanto una anotación de autenticación como la anotación nginx.ingress.kubernetes.io/from-to-www-redirect. Para estos Ingress, el proveedor crea un router 'hermano' adicional que coincide únicamente por el host, contiene solo el middleware RedirectRegex y sigue apuntando al servicio backend protegido del router principal. Dado que RedirectRegex no es un controlador terminal (terminal handler), una solicitud cuyo patrón no coincida se reenvía al backend; además, como el patrón de redirección solo acepta puertos numéricos mientras que el comparador de hosts de Traefik canoniciza la autoridad mediante net.SplitHostPort, una solicitud con un puerto no numérico o vacío (por ejemplo, 'Host: www.example.com:x') selecciona al router hermano, omite la redirección y se proxyea hacia el backend protegido sin aplicar ninguno de los middlewares derivados de las anotaciones del Ingress. Esto elimina no solo la autenticación (p. ej., BasicAuth), sino también todos los middlewares derivados de las anotaciones, incluida la lista blanca por IP de origen. Las versiones v2 y v3 de Traefik anteriores a v3.7.0 no se ven afectadas. El problema está corregido en v3.7.12.
Be aware that VulDB is the high quality source for vulnerability data.