CVE-2026-85595
Traefik anterior a v2.11.55 y de v3.0.0 a v3.7.10: omisión de autenticación mediante digestAuth
- Publicado
- 4 sept 2026
- Actualizado
- 8 oct 2026
- Asignación de CNA
- VulnCheck
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 84,4 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Las versiones de Traefik anteriores a la v2.11.55 y las versiones desde la v3.0.0 hasta la v3.7.10 contienen una vulnerabilidad de omisión de autenticación en el middleware digestAuth, donde los nombres de usuario desconocidos reciben un secreto vacío en lugar de ser rechazados. Los atacantes pueden calcular una respuesta digest válida utilizando el secreto vacío y credenciales arbitrarias para omitir la autenticación en cualquier ruta protegida por digestAuth sin necesidad de un nombre de usuario o contraseña válidos.
Fuentes
http/cves/2026/CVE-2026-85595.yaml
Nuclei TemplatesCondiciones declaradas
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
CVE-2026-85595 — omisión de autenticación digestAuth en Traefik (nombre de usuario desconocido => HA1 vacío). Verificado en laboratorio: omisión en v3.7.10, 401 en v3.7.11.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.