CVE-2026-88878 in Traefik
Riassunto
di VulDB • 10/09/2026
Traefik è un reverse proxy HTTP e bilanciatore del carico. Nelle versioni >= v2.8.2 fino a = v3.0.0, le impostazioni .transport.respondingTimeouts — in particolare readTimeout, che è abilitato di default con un valore di 60 secondi — non vengono applicate al percorso delle richieste HTTP/3. readTimeout viene imposto come scadenza sulla connessione TCP sottostante, la quale non può essere applicata a uno stream QUIC, e il server HTTP/3 di Traefik è configurato senza alcun timeout. Di conseguenza, sugli entry point con HTTP/3 abilitato, un client remoto non autenticato che invia lentamente byte del corpo della richiesta può mantenere una richiesta aperta indefinitamente e, con essa, una connessione upstream per ogni richiesta, esaurendo i pool di connessioni backend limitati e causando un denial of service. Il problema è stato introdotto in v2.8.2 quando una modifica all'API quic-go ha rimosso l'http.Server incorporato che gestiva questi timeout. Risolto nelle versioni v2.11.56 e v3.7.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.