CVE-2026-88877

Nome do Software Vulnerável e Versões Afetadas Traefik versões 3.7.0 até 3.7.11

Descrição O provedor Kubernetes ingress-nginx processa incorretamente Ingresses que contêm tanto uma anotação de autenticação quanto a anotação nginx.ingress.kubernetes.io/from-to-www-redirect. Isso faz com que o provedor crie um roteador "irmão" que corresponde apenas ao host e utiliza o middleware RedirectRegex, apontando para o serviço de backend protegido. Como o RedirectRegex não é um manipulador terminal, solicitações que não correspondem ao seu padrão são encaminhadas ao backend. Ao utilizar um cabeçalho Host manipulado com uma porta não numérica ou vazia (ex: 'Host: www.example.com:x'), um invasor pode selecionar esse roteador irmão e ignorar o redirecionamento. Isso resulta no encaminhamento da solicitação ao backend protegido sem a aplicação de nenhum middleware derivado de anotação, ignorando efetivamente a autenticação (como BasicAuth) e a lista de permissões de IP de origem.

Recomendações Atualize o Traefik para a versão 3.7.12.