Résumé
généré automatiquement à partir des données NVDTraefik, reverse proxy HTTP et répartiteur de charge, présente un contournement d'authentification dans son middleware ForwardAuth lorsque trustForwardHeader=false est configuré et que Traefik est déployé derrière un proxy amont de confiance (faiblesse CWE-345). Un attaquant distant sans authentification pourrait ainsi accéder à des ressources protégées, avec un impact élevé sur la confidentialité et l'intégrité. Le problème est corrigé dans les versions 2.11.43, 3.6.14 et 3.7.0-rc.2 ; sévérité critique, CVSS v3.1 de 10.0.
Description NVD (anglais)
Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is an authentication bypass vulnerability in Traefik's ForwardAuth middleware when trustForwardHeader=false is configured and Traefik is deployed behind a trusted upstream proxy. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2.
EPSS · FIRST.org
0,31 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 22 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 30 avr. 2026
- Mis à jour
- 15 juil. 2026
- Statut
- Modified
- Source
- security-advisories@github.com
Produits affectés
Faiblesses (CWE)
Références (8)
- https://github.com/traefik/traefik/releases/tag/v2.11.43ProductRelease Notes
- https://github.com/traefik/traefik/releases/tag/v3.6.14ProductRelease Notes
- https://github.com/traefik/traefik/releases/tag/v3.7.0-rc.2ProductRelease Notes
- https://github.com/traefik/traefik/security/advisories/GHSA-6384-m2mw-rf54ExploitPatchVendor Advisory
CVEs similaires
Autres vulnérabilités de type CWE-345
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.