CVE-2020-15129

Versões do Traefik anteriores à 1.7.26

Versões do Traefik anteriores à 2.2.8

Versões do Traefik anteriores à 2.3.0-rc3

A vulnerabilidade diz respeito ao tratamento do cabeçalho X-Forwarded-Prefix pelo Traefik, em que o componente do painel da API do Traefik não valida se o valor do cabeçalho é um caminho relativo ao site, permitindo redirecionamentos para qualquer URI fornecida. Isso poderia ser explorado para induzir vítimas a divulgar informações confidenciais. Considera-se improvável que haja exploração ativa devido à necessidade de injeção ativa de cabeçalhos, mas a vulnerabilidade foi corrigida para prevenir possíveis abusos, como cenários de envenenamento de cache.

Para versões anteriores à 1.7.26, atualize para a versão 1.7.26 ou posterior.

Para versões anteriores à 2.2.8, atualize para a versão 2.2.8 ou posterior.

Para versões anteriores à 2.3.0-rc3, atualize para a versão 2.3.0-rc3 ou posterior.

Como solução alternativa temporária, considere usar o middleware headers para substituir o valor do cabeçalho X-Forwarded-Prefix por um ponto (.) para evitar redirecionamentos maliciosos.