CVE-2026-88879

Traefik bir HTTP ters vekil sunucusu ve yük dengeleyicidir. Traefik v1.x, v2.x ile v2.11.55 arası ve v3.0.0 ile v3.7.11 arası sürümlerde, başlık isimleri yalnızca tire işaretlerine göre kanonikleştirilir; bu nedenle X-Auth-User, X_Auth_User ve X.Auth.User ifadeleri Traefik tarafından üç ayrı başlık olarak değerlendirilirken, değişken isimlerini başlık isimlerinden türeten arka uçlar (CGI, WSGI, PHP, NGINX ve diğerleri) bunları tek bir değişkende toplar. Bu durum, bir istemcinin, Traefik tarafından yönetilen bir başlığın nokta biçimindeki takma adını, onu yöneten ara yazılımı atlatarak göndermesine olanak tanır — örneğin, ForwardAuth ara yazılımı tarafından yazılan kanonik X-Authenticated-User ile birlikte X.Authenticated.User sağlanması, söz konusu arka ucun Traefik tarafından onaylanan kimlik yerine istemci tarafından sağlanan değeri okumasına neden olur. Test edilen yapılandırmada (bir HTTP/1 arka uç yolu üzerinden PHP 8.2 yerleşik SAPI), Go'nun sözlüksel başlık sıralaması saldırgan tarafından sağlanan değerin belirleyici şekilde kazanmasını sağlar; böylece ForwardAuth tarafından düşük yetkili bir kimlik olarak kabul edilen bir istemci, arka uç tarafından farklı bir kullanıcı veya rol olarak işlenebilir. Yalnızca ForwardAuth değil, Traefik tarafından ayarlanan tüm başlıklar bundan etkilenir. Bu durum, yalnızca alt çizgi biçimini engelleyen GHSA-x677-9fxg-v5c5 için eksik bir düzeltmedir. aliasHeadersStrategy giriş noktası seçeneği eklenen v2.11.56 ve v3.7.12 sürümlerinde düzeltilmiştir; geriye dönük uyumluluk için varsayılan değeri 'keep' olduğundan, düzeltmenin etkili olması için açıkça 'delete' veya 'reject' olarak ayarlanmalıdır. Bakımı yapılmayan sürüm hatları yama almayacaktır.