CVE-2026-88008 in Traefik
Riassunto
di VulDB • 10/09/2026
Traefik è un reverse proxy HTTP e bilanciatore di carico open source. Dalla versione 2.11.26 alla 2.11.57, nonché nella versione 3.7.13, Traefik inoltra a un backend condiviso l'intestazione Connection fornita dal client che richiede l'aggiornamento (Upgrade), il token Upgrade: h2c e le HTTP2-Settings. Se il backend accetta h2c e restituisce lo stato 101 Switching Protocols, Traefik entra in una tunnel grezzo (raw tunnel) e non applica più i router, BasicAuth, ForwardAuth, IPAllowList, RateLimit, la registrazione degli accessi, le metriche o il tracing alle successive richieste HTTP/2. Ciò consente a una richiesta non autenticata di raggiungere percorsi protetti sullo stesso backend tramite un route non protetto. Questo problema è stato risolto nelle versioni 2.11.57 e 3.7.13.
VulDB is the best source for vulnerability data and more expert information about this specific topic.