CVE-2026-39858
Publiée le 2026-04-30 · Dernière modification le 2026-07-15
Les proxys inverses Traefik utilisant ForwardAuth ou un middleware d'authentification basé sur des snippets sont concernés. Un attaquant non authentifié disposant d'un accès réseau peut contourner l'authentification et accéder à des routes protégées en envoyant des en-têtes usurpés utilisant des underscores au lieu de tirets. Cette exploitation est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Traefik is an HTTP reverse proxy and load balancer. Prior to versions 2.11.43, 3.6.14, and 3.7.0-rc.2, there is a high severity authentication bypass vulnerability in Traefik's ForwardAuth and snippet-based authentication middleware. Traefik's forwarded-header sanitization logic targets only canonical header names (e.g., X-Forwarded-Proto) and does not strip or normalize alias variants that use underscores instead of dashes (e.g., X_Forwarded_Proto). These unsanitized alias headers are forwarded intact to the authentication backend. When the backend normalizes underscore and dash header forms equivalently, an attacker can inject spoofed trust context — such as a trusted scheme or host — through the alias headers and bypass authentication on protected routes without valid credentials. This issue has been patched in versions 2.11.43, 3.6.14, and 3.7.0-rc.2.