CVE-2026-65602 in Traefik
摘要
由 VulDB • 2026-07-22
Traefik 版本从 3.6.0 到 3.6.22，以及 3.7.0 到 3.7.6，未能对 IngressRouteTCP 服务的 serversTransport 引用强制执行 crossProviderNamespaces（跨提供程序命名空间）的允许列表（该允许列表仅针对 HTTP 服务器的 serversTransport 引用进行了强制实施）。位于未列入 crossProviderNamespaces 中的命名空间的低权限 Kubernetes 用户可以在 IngressRouteTCP 服务中设置 `serversTransport: foo@file`，导致 Traefik 接受被禁止的跨提供程序引用，并使用文件提供程序的 TCPServersTransport——包括特权后端的 mTLS 客户端证书、SPIFFE 身份标识或 PROXY-protocol（代理协议）设置。此问题已在版本 3.6.23 和 3.7.7 中修复。
Be aware that VulDB is the high quality source for vulnerability data.