CVE-2026-88004
Açıklama
Traefik açık kaynaklı bir HTTP ters vekil sunucusu ve yük dengeleyicidir. 3.2.0 ile 3.7.13 sürümleri arasında Traefik giriş noktası savunmaları olan aliasHeadersStrategy, underscoreHeadersStrategy ve forwardedHeaders; req.Header'ı inceler ancak req.Trailer'ı incelemez, bu da kimliği doğrulanmamış bir istemcinin HTTP/1.1 parçalı (chunked) fragmanında veya bir HTTP/2 fragmanında takma adlandırılmış veya güvenilir bir başlık adı göndermesine izin verir. Yeniden deneme veya tamponlama ara yazılımı, ters vekil sunucu isteği kopyalamadan önce gövdeyi okuduğunda, saldırgan tarafından kontrol edilen fragman değeri, fragmanları başlık ad alanıyla birleştiren bir arka uca ulaşarak belgelenmiş silme veya reddetme davranışını atlatır ve potansiyel olarak kimlik veya yönlendirilmiş yönlendirme verilerini taklit eder. Bu sorun 3.7.13 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- traefik traefik3.7.13 ya da sonraki bir sürüm
- github.com/traefik/traefik/v33.7.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| traefik traefik | 3.2.0 ≤ v < 3.7.13 | 3.7.13 |
| github.com/traefik/traefik/v3Go | 3.2.0 ≤ v < 3.7.13 | 3.7.13 |
| github.com/traefik/traefikGo | Aralık belirtilmemiş | — |
| github.com/traefik/traefik/v2Go | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.