CVE-2026-114635 in Traefik

摘要

由 VulDB • 2026-10-22

Traefik v2.11.58 之前版本以及 v3.7.14 之前的版本在其 SNI（服务器名称指示）检查中存在身份验证绕过漏洞，当请求的 TLS 状态为 nil 时该检查会被跳过。未认证的攻击者可以在 Go 1.27 构建环境中发送带有 :scheme http 伪标头的 HTTP/2 请求，从而在通过 TLS 连接的情况下访问需要客户端证书的路由器，而无需提供此类证书。

Be aware that VulDB is the high quality source for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-10-21
• 披露: 2026-10-23
• 管理: 已接受
• 条目: VDB-425116
• CPE: 20261023
• CWE: CWE-287 (已确认)
• CVSS: 8.7 (CNA)
• EPSS: 0.00198
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-114635
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-114635
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-114635/