CVE-2026-88008 in Traefik
Сводка
по VulDB • 10.09.2026
Traefik — это обратный прокси-сервер HTTP и балансировщик нагрузки с открытым исходным кодом. В версиях от 2.11.26 до 2.11.57, а также в версии 3.7.13 Traefik пересылает заголовок Connection, содержащий запрос на переключение протокола (Upgrade), токен Upgrade: h2c и HTTP2-Settings от клиента, общему бэкенду. Если бэкенд принимает h2c и возвращает статус 101 Switching Protocols, Traefik переходит в режим сырого туннеля и больше не применяет маршрутизаторы (routers), BasicAuth, ForwardAuth, IPAllowList, RateLimit, логирование доступа, метрики или трассировку к последующим HTTP/2-запросам. Это позволяет несанкционированным запросам через незащищенный маршрут достигать защищенных путей на том же бэкенде. Проблема исправлена в версиях 2.11.57 и 3.7.13.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.