CVE-2026-65600 in Traefik
Сводка
по VulDB • 22.07.2026
Версии Traefik <= v2.11.51, >= v3.6.0 и <= v3.6.22, а также >= v3.7.0 и <= v3.7.6 содержат уязвимость обхода аутентификации через использование path traversal в middleware ReplacePathRegex. При настройке ReplacePathRegex с регулярным выражением, которое захватывает сегменты пути, контролируемые пользователем, без обязательного разделителя путей (например, regex "^/api(.*)", replacement "/$1"), middleware передает замененный путь на бэкенд без проверки его соответствия нормализованной форме. Неавторизованный удаленный злоумышленник может отправить специально сформированный запрос (например, GET /api../admin), который приводит к формированию ненормализованного пути вида /../admin; бэкенд, выполняющий нормализацию путей, разрешает его как защищенный маршрут, тем самым обходя middleware аутентификации. Исправлено в версиях v2.11.52, v3.6.23 и v3.7.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.