CVE-2026-88877

Riepilogo

Traefik è un reverse proxy HTTP e load balancer. Nelle versioni >= v3.7.0 e <= v3.7.11, il provider Kubernetes ingress-nginx gestisce in modo errato gli Ingress che presentano sia un'annotazione di autenticazione sia l'annotazione nginx.ingress.kubernetes.io/from-to-www-redirect. Per tali Ingress, il provider crea un router 'sibling' aggiuntivo che corrisponde solo all'host, porta solo il middleware RedirectRegex e punta comunque al servizio backend protetto del router padre. Poiché RedirectRegex non è un handler terminale, una richiesta il cui pattern non corrisponde viene inoltrata al backend, e poiché il pattern di redirect accetta solo una porta numerica mentre il matcher dell'host di Traefik canonicalizza l'authority tramite net.SplitHostPort, una richiesta con una porta non numerica o vuota (ad esempio 'Host: www.example.com:x') seleziona il router sibling, manca il redirect e viene inoltrata al backend protetto senza che venga applicato alcuno dei middleware derivati dalle annotazioni dell'Ingress. Ciò scarta non solo l'autenticazione (ad esempio BasicAuth) ma ogni middleware derivato dalle annotazioni, incluso l'allowlisting basato sull'IP di origine. Le release di Traefik v2 e v3 precedenti alla v3.7.0 non sono interessate. Il problema è risolto nella v3.7.12.

Fonti

• CVE-2026-88877-PoC-pwnVaderPoC

  Proof-of-concept e laboratorio riproducibile per CVE-2026-88877, un bypass di autenticazione di Traefik ingress-nginx tramite from-to-www-redirect, con una modalità di verifica in sola lettura.