CVE-2026-88878 in Traefik
Sumário
de VulDB • 10/09/2026
O Traefik é um proxy reverso HTTP e balanceador de carga. Nas versões >= v2.8.2 até <= v2.11.55 e >= v3.0.0 até <= v3.7.11, as configurações entryPoints.<name>.transport.respondingTimeouts — notadamente o readTimeout, que está habilitado por padrão em 60 segundos — não são aplicadas ao caminho de requisição HTTP/3. O readTimeout é aplicado como um prazo limite na conexão TCP subjacente, o que não pode ser feito para um stream QUIC, e o servidor HTTP/3 do Traefik é construído sem nenhum timeout. Como resultado, em pontos de entrada com HTTP/3 habilitado, um cliente remoto não autenticado que envia bytes do corpo da requisição gradualmente (trickle) pode manter uma requisição aberta indefinidamente e, junto com ela, uma conexão upstream por requisição, esgotando os pools de conexões backend limitados e causando negação de serviço. A falha foi introduzida na v2.8.2 quando uma alteração na API quic-go removeu o http.Server embutido que carregava esses timeouts. Corrigido nas versões v2.11.56 e v3.7.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.