CVE-2026-39858
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
30/04/2026
Última modificación:
01/05/2026
Descripción
*** Pendiente de traducción *** Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is a high severity authentication bypass vulnerability in Traefik's ForwardAuth and snippet-based authentication middleware. Traefik's forwarded-header sanitization logic targets only canonical header names (e.g., X-Forwarded-Proto) and does not strip or normalize alias variants that use underscores instead of dashes (e.g., X_Forwarded_Proto). These unsanitized alias headers are forwarded intact to the authentication backend. When the backend normalizes underscore and dash header forms equivalently, an attacker can inject spoofed trust context — such as a trusted scheme or host — through the alias headers and bypass authentication on protected routes without valid credentials. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2.
Impacto
Puntuación base 4.0
7.80
Gravedad 4.0
ALTA
Puntuación base 3.x
10.00
Gravedad 3.x
CRÍTICA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:traefik:traefik:*:*:*:*:*:*:*:* | 2.11.43 (excluyendo) | |
| cpe:2.3:a:traefik:traefik:*:*:*:*:*:*:*:* | 3.0.0 (incluyendo) | 3.6.14 (excluyendo) |
| cpe:2.3:a:traefik:traefik:3.7.0:ea1:*:*:*:*:*:* | ||
| cpe:2.3:a:traefik:traefik:3.7.0:ea2:*:*:*:*:*:* | ||
| cpe:2.3:a:traefik:traefik:3.7.0:ea3:*:*:*:*:*:* | ||
| cpe:2.3:a:traefik:traefik:3.7.0:rc1:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página