CVE-2026-88877

Resumo

O Traefik é um proxy reverso HTTP e balanceador de carga. Nas versões >= v3.7.0 e <= v3.7.11, o provedor Kubernetes ingress-nginx trata incorretamente Ingresses que possuem tanto uma anotação de autenticação quanto a anotação nginx.ingress.kubernetes.io/from-to-www-redirect. Para tais Ingresses, o provedor cria um roteador 'irmão' adicional que corresponde apenas ao host, carrega apenas o middleware RedirectRegex e ainda aponta para o serviço de backend protegido do roteador pai. Como o RedirectRegex não é um manipulador terminal, uma requisição cujo padrão não corresponde é encaminhada para o backend, e como o padrão de redirecionamento aceita apenas uma porta numérica enquanto o matcher de host do Traefik canoniza a autoridade via net.SplitHostPort, uma requisição com uma porta não numérica ou vazia (por exemplo, 'Host: www.example.com:x') seleciona o roteador irmão, não corresponde ao redirecionamento e é encaminhada por proxy para o backend protegido sem nenhum dos middlewares derivados das anotações do Ingress aplicados. Isso descarta não apenas a autenticação (por exemplo, BasicAuth), mas todos os middlewares derivados de anotações, incluindo a lista de permissões de IP de origem. As versões do Traefik v2 e v3 anteriores à v3.7.0 não são afetadas. O problema foi corrigido na v3.7.12.

Fontes

• CVE-2026-88877-PoC-pwnVaderPoC

  Prova de conceito e laboratório reproduzível para CVE-2026-88877, um bypass de autenticação do Traefik ingress-nginx via from-to-www-redirect, com um modo de verificação somente leitura.