CVE-2026-54763
Açıklama
Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. v2.11.51, v3.6.22 ve v3.7.6 sürümlerinden önce, Traefik'in BasicAuth, DigestAuth ve ForwardAuth ara yazılımları, Traefik'in kendi değerini yazmadan önce standart büyük-küçük harf düzenine sahip sahte kimlik üstbilgilerini temizler; ancak birçok arka ucun tireli formlarla aynı şekilde normalize ettiği alt çizgi varyantlı üstbilgi adlarını dikkate almaz. Korumalı bir rotaya erişebilen bir saldırgan, Traefik'in temizleme işleminden kurtulan ve Traefik'in ayarlamayı amaçladığı değerle birlikte veya kimlik doğrulaması yapılmamış ForwardAuth authResponseHeaders yolu üzerinde onun yerine arka uca ulaşan bir alt çizgi varyantlı üstbilgi enjekte ederek kimliği veya yetkilendirme bağlamını taklit edebilir. Bu sorun v2.11.51, v3.6.22 ve v3.7.6 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik2.11.51, 3.6.22, 3.7.6 ya da sonraki bir sürüm
- github.com/traefik/traefik/v22.11.51 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.6.22, 3.7.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | v < 2.11.51, 3.0.0 ≤ v < 3.6.22, 3.7.0 ≤ v < 3.7.6 | 2.11.51, 3.6.22, 3.7.6 |
| github.com/traefik/traefik/v2Go | v < 2.11.51 | 2.11.51 |
| github.com/traefik/traefik/v3Go | v < 3.6.22, 3.7.0 ≤ v < 3.7.6 | 3.6.22, 3.7.6 |
| github.com/traefik/traefikGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.