PT-2026-137018
CVE-2026-121966
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.7
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Traefik الإصدارات من 2.x حتى 2.11.59
Traefik الإصدارات من 3.x حتى 3.7.15
الوصف
يتم إرسال طلبات ForwardAuth الفرعية وطلبات auth-url الخاصة بـ Ingress NGINX من خلال تجمع اتصالات خادم مصادقة مشترك بين جميع العملاء. يؤدي هذا السلوك إلى تعريض مصادقة NTLM أو Negotiate المرتبطة بالاتصال، وهي بروتوكولات تُستخدم لمصادقة المستخدمين مع الخادم. يمكن لمهاجم غير مصرح له إعادة استخدام اتصال مصادق يخص مستخدم آخر، والحصول على هوية الضحية عبر
authResponseHeaders للوصول إلى الأنظمة الخلفية بصفتها ذلك المستخدم.التوصيات
تحديث Traefik 2.x إلى الإصدار 2.11.60 أو أحدث.
تحديث Traefik 3.x إلى الإصدار 3.7.16 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾