CVE-2026-39858
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 — wyżej niż 38% wszystkich znanych CVE
Streszczenie
W Traefik przed wersjami 2.11.43, 3.6.14 i 3.7.0-rc.2 występuje podatność na ominięcie uwierzytelniania w ForwardAuth i middleware opartym na snippetach. Mechanizm sanityzacji nagłówków nie usuwa aliasów z podkreślnikami (np. X_Forwarded_Proto), które są przekazywane do backendu uwierzytelniającego, umożliwiając atakującemu wstrzyknięcie sfałszowanego kontekstu zaufania.
Ocena ryzyka
Atakujący bez ważnych poświadczeń może ominąć uwierzytelnianie na chronionych trasach, uzyskując nieautoryzowany dostęp do wrażliwych zasobów lub usług.
Rekomendacja
Niezwłocznie zaktualizuj Traefik do wersji 2.11.43, 3.6.14 lub 3.7.0-rc.2. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz ForwardAuth lub snippet-based middleware na chronionych trasach.
Oryginalny opis (angielski, źródło NVD)
Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is a high severity authentication bypass vulnerability in Traefik's ForwardAuth and snippet-based authentication middleware. Traefik's forwarded-header sanitization logic targets only canonical header names (e.g., X-Forwarded-Proto) and does not strip or normalize alias variants that use underscores instead of dashes (e.g., X_Forwarded_Proto). These unsanitized alias headers are forwarded intact to the authentication backend. When the backend normalizes underscore and dash header forms equivalently, an attacker can inject spoofed trust context — such as a trusted scheme or host — through the alias headers and bypass authentication on protected routes without valid credentials. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2.