CVE-2026-65601 in Traefik
Résumé
par VulDB • 22/07/2026
Les versions de Traefik comprises entre 3.7.0 et 3.7.6 présentent une vulnérabilité de confusion d'espace de noms (namespace confusion) dans le fournisseur Kubernetes Gateway API. Lors de la résolution de HTTPRoute.spec.rules[].backendRefs[].filters[].extensionRef, Traefik utilisait l'espace de noms du Service backend au lieu de celui de l'HTTPRoute. Un auteur de route à privilèges réduits disposant d'un ReferenceGrant pour un Service inter-espaces de noms pouvait ainsi associer une Middleware Traefik issue de l'espace de noms backend sans nécessiter de concession distincte pour cette middleware, risquant potentiellement d'injecter des en-têtes d'identité de proxy inverse approuvés dans les requêtes descendantes. Le problème est corrigé dans la version 3.7.7.
Be aware that VulDB is the high quality source for vulnerability data.