CVE-2026-65602 in Traefik
Tóm tắt
Bởi VulDB • 22/07/2026
Traefik phiên bản từ 3.6.0 đến 3.6.22 và từ 3.7.0 đến 3.7.6 không thực thi danh sách cho phép (allowlist) crossProviderNamespaces đối với các tham chiếu serversTransport của dịch vụ IngressRouteTCP (danh sách này chỉ được áp dụng cho các tham chiếu serversTransport của máy chủ HTTP). Người dùng Kubernetes có đặc quyền thấp trong một namespace không nằm trong danh sách crossProviderNamespaces có thể thiết lập serversTransport: foo@file trên một dịch vụ IngressRouteTCP, khiến Traefik chấp nhận tham chiếu chéo giữa các nhà cung cấp bị cấm và sử dụng TCPServersTransport của file-provider — bao gồm cả chứng chỉ khách mTLS cho backend đặc quyền, định danh SPIFFE hoặc cài đặt giao thức PROXY. Lỗi này đã được khắc phục trong phiên bản 3.6.23 và 3.7.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.