CVE-2026-62987

Fabio, consul tarafından yönetilen uygulamaları dağıtmak için kullanılan bir HTTP(S) ve TCP yönlendiricidir. 1.6.6 ile 1.7.2 sürümleri arasında, proxy/http_headers.go dosyasındaki CVE-2025-48865 düzeltmesi, sabit olarak tanımlanmış bir grup iletilmiş başlık (forwarded headers) için protectHeaders'ı kullanır ancak operatör tarafından yapılandırılan ClientIPHeader, TLSHeader ve RequestID isimlerini atlar. proxy/http_proxy.go dosyasında, HTTPProxy.ServeHTTP, Go ReverseProxy gelen Connection başlığını işlemeden önce bu güvenilir başlıkları ayarlamak için addHeaders'ı çağırır; bu durum, kimliği doğrulanmamış bir istemcinin, istek arka uca ulaşmadan önce yapılandırılmış başlıkları adlandırmasına ve kaldırmasına olanak tanır. Bu nedenle, ilgili proxy.header seçeneklerini etkinleştiren dağıtımlar, arka uç yetkilendirme ve denetim tarafından kullanılan client-IP, TLS-termination veya istek korelasyon sinyallerini kaybedebilir; bu seçenekler varsayılan olarak boştur ve sabit olarak tanımlanmış korumalı iletilmiş başlıklar etkilenmez. Bu sorun 1.7.2 sürümünde düzeltilmiştir.