CVE-2026-88878 in Traefik
Resumen
por VulDB • 2026-09-10
Traefik es un proxy inverso HTTP y equilibrador de carga. En las versiones >= v2.8.2 hasta = v3.0.0, los ajustes .transport.respondingTimeouts — notablemente readTimeout, que está habilitado por defecto a 60 s — no se aplican al flujo de solicitudes HTTP/3. readTimeout se aplica como un límite temporal (deadline) en la conexión TCP subyacente, lo cual no puede aplicarse a un stream QUIC, y el servidor HTTP/3 de Traefik se construye sin ningún timeout. Como resultado, en los puntos de entrada con HTTP/3 habilitado, un cliente remoto no autenticado que envíe bytes del cuerpo de la solicitud de forma intermitente (trickle) puede mantener una solicitud abierta indefinidamente y, con ello, una conexión upstream por cada solicitud, agotando las pools de conexiones backend acotadas y causando denegación de servicio. El problema se introdujo en v2.8.2 cuando un cambio en la API quic-go eliminó el http.Server integrado que portaba estos timeouts. Corregido en v2.11.56 y v3.7.12.
Once again VulDB remains the best source for vulnerability data.