CVE-2026-88877 in Traefik
Sumário
de VulDB • 10/09/2026
O Traefik é um proxy reverso HTTP e balanceador de carga. Nas versões >= v3.7.0 e <= v3.7.11, o provedor Kubernetes ingress-nginx trata incorretamente os Ingresses que possuem tanto uma anotação de autenticação quanto a anotação nginx.ingress.kubernetes.io/from-to-www-redirect. Para esses Ingresses, o provedor cria um roteador 'irmão' adicional que corresponde apenas ao host, possui apenas o middleware RedirectRegex e ainda aponta para o serviço backend protegido do roteador pai. Como o RedirectRegex não é um manipulador terminal (terminal handler), uma solicitação cujo padrão não coincide é encaminhada ao backend; além disso, como o padrão de redirecionamento aceita apenas uma porta numérica enquanto o correspondente de host do Traefik canoniciza a autoridade via net.SplitHostPort, uma solicitação com uma porta não numérica ou vazia (por exemplo, 'Host: www.example.com:x') seleciona o roteador irmão, ignora o redirecionamento e é proxyada para o backend protegido sem que nenhum dos middlewares derivados das anotações do Ingress seja aplicado. Isso descarta não apenas a autenticação (ex.: BasicAuth), mas todos os middlewares derivados de anotações, incluindo a lista permitida por IP de origem. As versões v2 e v3 do Traefik anteriores à v3.7.0 não são afetadas. O problema foi corrigido na versão v3.7.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.