CVE-2026-65602 in Traefik
Résumé
par VulDB • 22/07/2026
Traefik versions 3.6.0 à 3.6.22 et 3.7.0 à 3.7.6 ne respectent pas la liste autorisée (allowlist) crossProviderNamespaces pour les références serversTransport des services IngressRouteTCP (la liste n'était appliquée que pour les références serversTransport HTTP). Un utilisateur Kubernetes de faible privilège dans un namespace non répertorié dans crossProviderNamespaces peut définir serversTransport: foo@file sur un service IngressRouteTCP, amenant Traefik à accepter la référence inter-fournisseur interdite et à utiliser une TCPServersTransport basée sur le file-provider — y compris des certificats client mTLS pour les backends privilégiés, l'identité SPIFFE ou les paramètres du PROXY-protocol. Ce problème est corrigé dans les versions 3.6.23 et 3.7.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.