CVE-2026-88879

Nome do Software Vulnerável e Versões Afetadas Traefik versões 1.x Traefik versões 2.x até 2.11.55 Traefik versões 3.0.0 até 3.7.11

Description O Traefik realiza a canonicalização de nomes de cabeçalhos apenas em traços, tratando X-Auth-User, X Auth User e X.Auth.User como cabeçalhos distintos. No entanto, backends que derivam nomes de variáveis a partir de cabeçalhos (como CGI, WSGI, PHP e NGINX) os consolidam em uma única variável. Isso permite que um cliente envie um alias em formato de ponto de um cabeçalho gerenciado pelo Traefik, ignorando o middleware responsável. Por exemplo, ao fornecer X.Authenticated.User junto ao X-Authenticated-User canônico escrito pelo middleware ForwardAuth, o backend pode ler o valor fornecido pelo cliente em vez da identidade afirmada pelo Traefik. Isso pode resultar em falsificação de identidade, onde um usuário com baixos privilégios é tratado como outro usuário ou função administrativa. Qualquer cabeçalho definido pelo Traefik é afetado.

Recommendations Para as versões 2.x até 2.11.55 do Traefik, atualize para a versão 2.11.56 e defina explicitamente a opção de entry-point aliasHeadersStrategy como delete ou reject. Para as versões 3.0.0 até 3.7.11 do Traefik, atualize para a versão 3.7.12 e defina explicitamente a opção de entry-point aliasHeadersStrategy como delete ou reject. Para as versões 1.x do Traefik, atualize para a versão 2.11.56 ou 3.7.12 e defina explicitamente a opção de entry-point aliasHeadersStrategy como delete ou reject.