CVE-2026-65601 in Traefik
要約
〜によって VulDB • 2026年07月22日
Traefik のバージョン 3.7.0 から 3.7.6 には、Kubernetes Gateway API プロバイダーにおける名前空間の混同（namespace confusion）脆弱性が存在します。HTTPRoute.spec.rules[].backendRefs[].filters[].extensionRef を解決する際、Traefik は HTTPRoute の名前空間ではなくバックエンド Service の名前空間を使用していました。これにより、クロスネームスペースの Service に対する ReferenceGrant を保持している低権限のルート作成者は、そのミドルウェア用の個別の認可なしに、バックエンドの名前空間から Traefik Middleware をバインドすることができ、結果として下流のリクエストに対して信頼されたリバースプロキシアイデンティティヘッダーを注入する可能性があります。この問題はバージョン 3.7.7 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.