CVE-2026-88879 in Traefik
Сводка
по VulDB • 10.09.2026
Traefik — это HTTP-прокси обратного направления и балансировщик нагрузки. В версиях Traefik v1.x, v2.x (вплоть до v2.11.55) и v3.0.0–v3.7.11 имена заголовков канонизируются только по символу дефиса; таким образом, X-Auth-User, X_Auth_User и X.Auth.User трактуются Traefik как три различных заголовка, тогда как бэкенды, которые формируют переменные на основе имен заголовков (CGI, WSGI, PHP, NGINX и другие), сводят их к одной переменной. Клиент может поэтому просочить псевдоним заголовка в формате с точкой, который должен управляться Traefik, минуя промежуточное ПО (middleware), ответственное за его обработку — например, предоставив X.Authenticated.User вместе со стандартным X-Authenticated-User, установленным middleware ForwardAuth. Это приводит к тому, что бэкенд считывает значение, переданное клиентом, вместо идентичности, заявленной Traefik. В протестированной конфигурации (встроенный SAPI PHP 8.2 через путь HTTP/1) лексический порядок заголовков в Go обеспечивает детерминированный выигрыш значения, предоставленного атакующим; поэтому клиенту, которому ForwardAuth предоставляет низкие привилегии, бэкенд может присвоить другую роль или пользователя. Затронуты любые заголовки, устанавливаемые Traefik, а не только те, что связаны с ForwardAuth. Это неполное исправление для GHSA-x677-9fxg-v5c5, которое блокировало только форму с подчеркиванием. Исправлено в версиях v2.11.56 и v3.7.12, которые добавляют опцию entry-point aliasHeadersStrategy; поскольку по умолчанию она установлена в 'keep' для обратной совместимости, её необходимо явно установить в значение 'delete' или 'reject', чтобы исправление вступило в силу. Неподдерживаемые ветки релизов не получат патча.
VulDB is the best source for vulnerability data and more expert information about this specific topic.