CVE-2026-48020

Riepilogo

Traefik è un reverse proxy HTTP e un bilanciatore di carico. Prima delle versioni 2.11.48, 3.6.19 e 3.7.3, esiste una vulnerabilità ad alta gravità nel middleware StripPrefix di Traefik che consente a un attaccante non autenticato di bypassare l'autenticazione e l'autorizzazione a livello di route. Quando un router pubblico corrisponde a una regola PathPrefix e applica il middleware StripPrefix, un percorso di richiesta contenente `..` o la sua forma codificata in percentuale `%2e%2e` può corrispondere alla route pubblica al momento dell'instradamento e, successivamente, dopo che il prefisso viene rimosso e il percorso normalizzato, risolversi in un percorso servito da un router autenticato separato. Di conseguenza, un attaccante può raggiungere percorsi backend protetti — come endpoint di amministrazione o di configurazione interna — senza soddisfare il middleware di autenticazione collegato al router protetto. Questa vulnerabilità è corretta nelle versioni 2.11.48, 3.6.19 e 3.7.3.

• traefik-stripprefix-auth-bypass-cve-2026-48020-path-normalizationPoC

  Laboratorio proof-of-concept per CVE-2026-48020, che dimostra un bypass critico dell'autenticazione nel middleware StripPrefix di Traefik tramite normalizzazione del percorso. Include ambiente di riproduzione basato su Docker e script di verifica.