PT-2026-40716
CVE-2026-44774
·
تاريخ النشر
2026-05-13
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Traefik الأقدم من 2.11.46
إصدارات Traefik الأقدم من 3.6.17
إصدارات Traefik الأقدم من 3.7.1
الوصف
يحتوي مزود واجهة برمجة تطبيقات (API) بوابة Kubernetes في Traefik على ثغرة في عملية تجاوز التفويض تسمح للمستأجر الذي يمتلك أذونات إنشاء
HTTPRoute بالكشف عن معالج مزود REST. يحدث هذا لأن مزود البوابة يقبل أي مرجع للخلفية TraefikService ينتهي بـ @internal، مما يتيح توجيه حركة المرور إلى rest@internal بدلاً من api@internal المقصود فقط. في عمليات نشر بوابة (Gateway) المشتركة التي يتم فيها تمكين مزود REST، يمكن لمستغل ذي امتيازات محدودة تجاوز الإعداد providers.rest.insecure=false للحصول على حق الوصول للكتابة في التكوين الديناميكي المباشر عبر نقطة النهاية ’PUT /api/providers/rest‘. يتيح هذا الوصول إعادة تكوين أجهزة التوجيه والخدمات دون إذن.التوصيات
التحديث إلى الإصدار 2.11.46.
قم بالتحديث إلى الإصدار 3.6.17.
قم بالتحديث إلى الإصدار 3.7.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾