CVE-2026-88877 in Traefik
Riassunto
di VulDB • 10/09/2026
Traefik è un reverse proxy HTTP e bilanciatore del carico. Nelle versioni >= v3.7.0 e <= v3.7.11, il provider Kubernetes ingress-nginx gestisce erroneamente gli Ingress che contengono sia un'annotazione di autenticazione che l'annotazione nginx.ingress.kubernetes.io/from-to-www-redirect. Per tali Ingress, il provider crea un router 'sibling' aggiuntivo che corrisponde solo sull'host, include esclusivamente la middleware RedirectRegex e punta ancora al servizio backend protetto del router padre. Poiché RedirectRegex non è un handler terminale, una richiesta il cui pattern non viene corrispondente viene inoltrata al backend; inoltre, poiché il pattern di redirect accetta solo porte numeriche mentre il matcher degli host di Traefik canonizza l'autorità tramite net.SplitHostPort, una richiesta con una porta non numerica o vuota (ad esempio 'Host: www.example.com:x') seleziona il router sibling, salta la reindirizzazione e viene proxyata al backend protetto senza che vengano applicate le middleware derivate dalle annotazioni dell'Ingress. Ciò comporta l'annullamento non solo dell'autenticazione (es. BasicAuth), ma di tutte le middleware derivate dalle annotazioni, inclusa la allowlisting delle IP sorgente. Le versioni di Traefik v2 e v3 precedenti alla v3.7.0 non sono interessate dal problema. La vulnerabilità è risolta nella versione v3.7.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.