CVE-2026-88877

Traefik to odwrotne proxy HTTP i moduł równoważenia obciążenia. W wersjach >= v3.7.0 i <= v3.7.11 dostawca Kubernetes ingress-nginx błędnie obsługuje wejścia, które zawierają zarówno adnotację uwierzytelniającą, jak i adnotację nginx.ingress.kubernetes.io/from-to-www-redirect. W przypadku takich wejść dostawca tworzy dodatkowy router „rodzeństwo”, który pasuje tylko do hosta, zawiera tylko oprogramowanie pośrednie RedirectRegex i nadal wskazuje chronioną usługę zaplecza routera nadrzędnego. Ponieważ RedirectRegex nie jest procedurą obsługi terminala, żądanie, którego wzorzec nie jest zgodny, jest przekazywane do backendu, a także ponieważ wzorzec przekierowania akceptuje tylko port numeryczny, podczas gdy moduł dopasowujący host Traefik kanonizuje uprawnienia poprzez net.SplitHostPort, żądanie z portem nienumerycznym lub pustym (na przykład „Host: www.example.com:x”) wybiera router rodzeństwa, pomija przekierowanie i jest przesyłane do chronionego serwera proxy backend bez zastosowania żadnego oprogramowania pośredniczącego Ingress opartego na adnotacjach. Powoduje to odrzucenie nie tylko uwierzytelnienia (np. BasicAuth), ale także każdego oprogramowania pośredniczącego opartego na adnotacjach, w tym listy dozwolonych źródłowych adresów IP. Nie ma to wpływu na wersje Traefik v2 i v3 starsze niż 3.7.0. Problem został rozwiązany w wersji 3.7.12.