CVE-2026-88879

Traefik HTTP tərs proksi və yük balanslaşdırıcısıdır. Traefik v1.x, v2.x-dən v2.11.55-ə qədər və v3.0.0-dan v3.7.11-ə qədər olan versiyalarda başlıq adları yalnız tirelər üzrə kanonikləşdirilir, buna görə də X-Auth-User, X_Auth_User və X.Auth.User Traefik tərəfindən üç fərqli başlıq kimi qəbul edilir, lakin dəyişən adlarını başlıq adlarından törədən backend-lər (CGI, WSGI, PHP, NGINX və s.) onları tək bir dəyişənə birləşdirir. Beləliklə, müştəri Traefik-in idarə etdiyi başlığın nöqtəli formasını həmin başlığı idarə edən middleware-dən gizlədə bilər — məsələn, ForwardAuth middleware-i tərəfindən yazılan kanonik X-Authenticated-User ilə yanaşı X.Authenticated.User təqdim etməklə — bu, backend-in Traefik tərəfindən təsdiqlənmiş kimlik əvəzinə müştəri tərəfindən təqdim edilmiş dəyəri oxumasına səbəb olur. Test edilmiş konfiqurasiyada (HTTP/1 backend yolu üzərində PHP 8.2 daxili SAPI), Go-nun leksik başlıq sıralaması hücumçu tərəfindən təqdim edilən dəyərin deterministik olaraq üstün gəlməsini təmin edir, beləliklə, ForwardAuth tərəfindən aşağı imtiyazlı kimlik kimi qəbul edilən müştəri backend tərəfindən fərqli istifadəçi və ya rol kimi qəbul edilə bilər. Yalnız ForwardAuth-un deyil, Traefik-in təyin etdiyi hər hansı başlıq bundan təsirlənir. Bu, yalnız alt xətt formasını bloklayan GHSA-x677-9fxg-v5c5 üçün natamam düzəlişdir. Problem aliasHeadersStrategy giriş nöqtəsi seçiminin əlavə edildiyi v2.11.56 və v3.7.12 versiyalarında aradan qaldırılıb; geri uyğunluq üçün bu seçimin standart dəyəri 'keep' olduğu üçün, düzəlişin qüvvəyə minməsi üçün o, açıq şəkildə 'delete' və ya 'reject' olaraq təyin edilməlidir. Dəstəklənməyən versiya xətləri üçün yamaq təqdim edilməyəcək.