CVE-2026-88877

ملخص

Traefik هو وكيل عكسي HTTP وموازن أحمال. في الإصدارات >= v3.7.0 و <= v3.7.11، يتعامل مزوّد Kubernetes ingress-nginx بشكل خاطئ مع الـ Ingresses التي تحمل كلاً من تعليق المصادقة (authentication annotation) وتعليق nginx.ingress.kubernetes.io/from-to-www-redirect. بالنسبة لمثل هذه الـ Ingresses، ينشئ المزوّد موجّهًا (router) إضافيًا 'شقيقًا' (sibling) يطابق المضيف (host) وحده، ويحمل فقط وسيط RedirectRegex، ولا يزال يشير إلى خدمة الواجهة الخلفية المحمية (protected backend service) الخاصة بالموجّه الأصلي. ولأن RedirectRegex ليس معالجًا نهائيًا (terminal handler)، فإن الطلب الذي لا يطابق نمطه يُمرَّر إلى الواجهة الخلفية، ولأن نمط إعادة التوجيه يقبل فقط منفذًا رقميًا بينما يقوم مطابق المضيف في Traefik بتقنين السلطة (authority) عبر net.SplitHostPort، فإن طلبًا بمنفذ غير رقمي أو فارغ (على سبيل المثال 'Host: www.example.com:x') يختار الموجّه الشقيق، ويفوّت إعادة التوجيه، ويُمرَّر عبر الوكيل إلى الواجهة الخلفية المحمية دون تطبيق أي من الوسيطات (middlewares) المشتقة من تعليقات الـ Ingress. وهذا يتجاهل ليس فقط المصادقة (مثل BasicAuth) بل كل وسيط مشتق من التعليقات، بما في ذلك قائمة السماح بعنوان IP المصدر (source-IP allowlisting). إصدارات Traefik v2 و v3 قبل v3.7.0 غير متأثرة. تم إصلاح المشكلة في v3.7.12.

المصادر

• CVE-2026-88877-PoC-pwnVaderPoC

  إثبات مفهوم ومختبر قابل لإعادة الإنتاج لـ CVE-2026-88877، وهو تجاوز للمصادقة في Traefik ingress-nginx عبر from-to-www-redirect، مع وضع فحص للقراءة فقط.