Résumé
généré automatiquement à partir des données NVDTraefik, le reverse proxy et load balancer HTTP, présente un contournement d'authentification dans ses middlewares ForwardAuth et d'authentification par snippet : la sanitisation des en-têtes forwarded ne cible que les noms canoniques et laisse passer les variantes avec underscores, comme X_Forwarded_Proto. Si le backend les normalise comme les formes avec tirets, un attaquant peut usurper le schéma ou l'hôte de confiance et accéder aux routes protégées sans identifiants valides. Le problème est corrigé dans les versions 2.11.43, 3.6.14 et 3.7.0-rc.2 ; sévérité critique, CVSS 10.0.
Description NVD (anglais)
Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is a high severity authentication bypass vulnerability in Traefik's ForwardAuth and snippet-based authentication middleware. Traefik's forwarded-header sanitization logic targets only canonical header names (e.g., X-Forwarded-Proto) and does not strip or normalize alias variants that use underscores instead of dashes (e.g., X_Forwarded_Proto). These unsanitized alias headers are forwarded intact to the authentication backend. When the backend normalizes underscore and dash header forms equivalently, an attacker can inject spoofed trust context — such as a trusted scheme or host — through the alias headers and bypass authentication on protected routes without valid credentials. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2.
EPSS · FIRST.org
0,60 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 47 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 19 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 30 avr. 2026
- Mis à jour
- 15 juil. 2026
- Statut
- Modified
- Source
- security-advisories@github.com
Produits affectés
Faiblesses (CWE)
Références (8)
- https://github.com/traefik/traefik/releases/tag/v2.11.43ProductRelease Notes
- https://github.com/traefik/traefik/releases/tag/v3.6.14ProductRelease Notes
- https://github.com/traefik/traefik/releases/tag/v3.7.0-rc.2ProductRelease Notes
- https://github.com/traefik/traefik/security/advisories/GHSA-5m6w-wvh7-57vmExploitMitigationPatchVendor Advisory
CVEs similaires
Autres vulnérabilités de type CWE-290
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.