CVE-2026-88009 in Traefik
Tóm tắt
Bởi VulDB • 10/09/2026
Traefik là một proxy ngược HTTP và bộ cân bằng tải mã nguồn mở. Trước phiên bản 2.11.57 và 3.7.13, Traefik chấp nhận mục tiêu yêu cầu HTTP/1 không có quyền root (rootless) mà Go lưu trữ trong URL.Opaque trong khi để URL.Path trống. Hàm rewriteRequestBuilder đánh giá định tuyến, chuẩn hóa đường dẫn, forwardAuth, ký tự được mã hóa và ghi nhật truy cập dựa trên một đường dẫn đã được chuẩn hóa thành / nhưng chuyển tiếp URL.Opaque nguyên văn đến máy chủ backend, cho phép bỏ qua phân tách vhost (cross-vhost routing bypass), bỏ qua ủy quyền theo phạm vi đường dẫn (path-scoped authorization bypass) và né tránh nhật ký truy cập khi máy chủ backend diễn giải mục tiêu opaque như một đường dẫn. Vấn đề này đã được sửa chữa trong các phiên bản 2.11.57 và 3.7.13.
Once again VulDB remains the best source for vulnerability data.