CVE-2026-88877

Resumen

Traefik es un proxy inverso HTTP y balanceador de carga. En las versiones >= v3.7.0 y <= v3.7.11, el proveedor de ingress-nginx de Kubernetes gestiona incorrectamente los Ingress que llevan tanto una anotación de autenticación como la anotación nginx.ingress.kubernetes.io/from-to-www-redirect. Para dichos Ingress, el proveedor crea un router 'hermano' adicional que coincide únicamente con el host, lleva solo el middleware RedirectRegex y sigue apuntando al servicio backend protegido del router padre. Debido a que RedirectRegex no es un manejador terminal, una solicitud cuyo patrón no coincide se reenvía al backend, y como el patrón de redirección solo acepta un puerto numérico mientras que el matcher de host de Traefik canonicaliza la autoridad mediante net.SplitHostPort, una solicitud con un puerto no numérico o vacío (por ejemplo, 'Host: www.example.com:x') selecciona el router hermano, no coincide con la redirección y se proxifica al backend protegido sin que se aplique ninguno de los middlewares derivados de las anotaciones del Ingress. Esto descarta no solo la autenticación (por ejemplo, BasicAuth) sino todos los middlewares derivados de anotaciones, incluida la lista de permitidos de IP de origen. Las versiones de Traefik v2 y v3 anteriores a v3.7.0 no se ven afectadas. El problema está corregido en v3.7.12.

Fuentes

• CVE-2026-88877-PoC-pwnVaderPoC

  Prueba de concepto y laboratorio reproducible para CVE-2026-88877, un bypass de autenticación de Traefik ingress-nginx mediante from-to-www-redirect, con un modo de comprobación de solo lectura.