CVE-2026-88011 in Traefik
Riassunto
di VulDB • 10/09/2026
Traefik è un reverse proxy HTTP e bilanciatore del carico open source. Prima della versione 2.11.56, e dalla versione 3.0.0 fino alla 3.7.12, un'intestazione fornita dal client con notazione a punti (ad esempio X.Authenticated.User) sopravvive al meccanismo di sostituzione ForwardAuth e all'underscoreHeadersStrategy poiché Go la tratta come distinta da X-Authenticated-User, mentre i backend CGI, WSGI, PHP e NGINX soggetti alla normalizzazione unificano entrambi i nomi. Di conseguenza, il backend può consumare il valore fornito dal client anziché l'identità affermata da Traefik, consentendo lo spoofing dell'identità per qualsiasi intestazione gestita da Traefik. La protezione aliasHeadersStrategy è disabilitata per impostazione predefinita e deve essere configurata come delete o reject. La mitigazione è disponibile nelle versioni 2.11.56 e 3.7.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.