EXPLOIT PÚBLICODetectada 25 OCT · 05:03

CVE-2026-88009 Omisión de enrutamiento y evasión de registros en Traefik con request-target HTTP/1 sin raíz

Traefik acepta un request-target HTTP/1 sin raíz que Go guarda en URL.Opaque con URL.Path vacío; el enrutamiento, la sanitización de rutas, forwardAuth, encodedCharacters y el registro de accesos se evalúan sobre una ruta normalizada a /, pero URL.Opaque se reenvía tal cual al backend. Esto permite omitir el enrutamiento entre vhosts, eludir autorizaciones por ruta y evadir el registro de accesos cuando el backend interpreta el target opaco como ruta. Corregido en 2.11.57 y 3.7.13.

8.8ALTA

CVSS 4.0

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 38
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

traefik
< 2.11.57>= 3.0.0, < 3.7.13

Qué hacer

Verificá si usás traefik y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Boreas37/CVE-2026-88009-PoC CVE-2026-88009 — Traefik forwards a rootless opaque request target that routing/forwardAuth see as '/'. Auth bypass + access-log evasion, verified v3.7.10 / v3.7.13.25 OCT · 05:03

Calculadora CVSS

CVSS 4.0 · 8.8 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataqueNinguno
Privilegios requeridosNinguno
Interacción del usuarioNinguna
Confidencialidad (sistema vulnerable)Alta
Integridad (sistema vulnerable)Baja
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Ninguna
Integridad (sistemas posteriores)Ninguna
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Traefik is an open source HTTP reverse proxy and load balancer. Prior to 2.11.57, and 3.7.13, Traefik accepts a rootless HTTP/1 request target that Go stores in URL.Opaque while leaving URL.Path empty. The rewriteRequestBuilder path evaluates routing, path sanitization, forwardAuth, encodedCharacters, and access logging against a path normalized to / but forwards URL.Opaque verbatim to the backend, allowing cross-vhost routing bypass, path-scoped authorization bypass, and access-log evasion when the backend interprets the opaque target as a path. This issue is fixed in 2.11.57 and 3.7.13.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.