Към съдържанието
Търсене

CVE-2026-65602: traefik, заобикаляне на вход и права

5.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Traefik 3.6.0 through 3.6.22 and 3.7.0 through 3.7.6 fail to enforce the crossProviderNamespaces allowlist for IngressRouteTCP service serversTransport references (the allowlist was only enforced for HTTP serversTransport references). A low-privileged Kubernetes user in a namespace not listed in crossProviderNamespaces can set serversTransport: foo@file on an IngressRouteTCP service, causing Traefik to accept the forbidden cross-provider reference and use a file-provider TCPServersTransport — including privileged backend mTLS client certificates, SPIFFE identity, or PROXY-protocol settings. This is fixed in 3.6.23 and 3.7.7.

Засегнати продукти

  • traefik traefik: 3.6.0 преди 3.6.23; 3.6.23
  • traefik traefik: 3.7.0 преди 3.7.7; 3.7.7

Вид слабост

История

  • 22 юли 2026 Публикувано

Други уязвимости в traefik traefik

Първоизточници

CVE-2026-65602: traefik, заобикаляне на вход и права | freedomonline.bg