CVE-2026-88877

总结

Traefik 是一个 HTTP 反向代理和负载均衡器。在 >= v3.7.0 且 <= v3.7.11 的版本中，Kubernetes ingress-nginx provider 会错误处理同时带有认证注解和 nginx.ingress.kubernetes.io/from-to-www-redirect 注解的 Ingress。对于此类 Ingress，该 provider 会创建一个额外的“兄弟”路由器，该路由器仅基于主机进行匹配，只携带 RedirectRegex 中间件，并且仍然指向父路由器受保护的后端服务。由于 RedirectRegex 不是终止型处理器，其模式不匹配的请求会被转发到后端；又因为重定向模式只接受数字端口，而 Traefik 的主机匹配器通过 net.SplitHostPort 规范化 authority，因此带有非数字或空端口的请求（例如 'Host: www.example.com:x'）会选中该兄弟路由器，未命中重定向，并在未应用该 Ingress 任何注解派生中间件的情况下被代理到受保护的后端。这不仅丢弃了认证（例如 BasicAuth），还丢弃了所有注解派生的中间件，包括源 IP 允许列表。v3.7.0 之前的 Traefik v2 和 v3 版本不受影响。该问题已在 v3.7.12 中修复。

来源

• CVE-2026-88877-PoC-pwnVaderPoC

  CVE-2026-88877 的概念验证与可复现实验环境，该漏洞是 Traefik ingress-nginx 通过 from-to-www-redirect 实现的认证绕过，并带有只读检查模式。