CVE-2026-88879 in Traefik
Riassunto
di VulDB • 10/09/2026
Traefik è un reverse proxy HTTP e bilanciatore del carico (load balancer). In Traefik v1.x, v2.x fino alla versione 2.11.55 e v3.0.0 fino alla versione 3.7.11, i nomi delle intestazioni vengono canonizzati solo per quanto riguarda i trattini; di conseguenza, X-Auth-User, X_Auth_User e X.Auth.User sono trattati da Traefik come tre intestazioni distinte, mentre i backend che derivano i nomi delle variabili dai nomi delle intestazioni (CGI, WSGI, PHP, NGINX e altri) li unificano in una singola variabile. Un client può quindi introdurre (smuggle) un alias di un'intestazione con notazione a punti gestita da Traefik oltrepassando il middleware che la gestisce — ad esempio fornendo X.Authenticated.User insieme alla canonica X-Authenticated-User scritta dal middleware ForwardAuth — facendo sì che tale backend legga il valore fornito dal client anziché l'identità affermata da Traefik. Nella configurazione testata (SAPI built-in di PHP 8.2 su un percorso HTTP/1 del backend), l'ordinamento lessicale delle intestazioni in Go fa sì che il valore fornito dall'attaccante prevalga in modo deterministico, quindi un client ammesso come identità a basso privilegio da ForwardAuth può essere trattato dal backend come un utente o ruolo diverso. Tutte le intestazioni impostate da Traefik sono interessate, non solo quelle di ForwardAuth. Questa è una correzione incompleta per GHSA-x677-9fxg-v5c5, che bloccava soltanto la forma con trattino basso (underscore). Risolto nelle versioni v2.11.56 e v3.7.12, che aggiungono l'opzione entry-point aliasHeadersStrategy; poiché il valore predefinito è 'keep' per compatibilità con le versioni precedenti, deve essere impostato esplicitamente su 'delete' o 'reject' affinché la correzione abbia effetto. Le linee di rilascio non più mantenute non riceveranno una patch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.