Intel

CVE-2026-88009

github.com/traefik/traefik/v2: Improper Validation of Syntactic Correctness of Input (CVE-2026-88009)

high

Beschreibung

Traefik ist ein quelloffener HTTP-Reverseproxy und Lastenausgleich. Vor Versionen 2.11.57 und 3.7.13 akzeptiert Traefik eine rootlose HTTP/1-Anfrageziel, die Go in URL.Opaque speichert und dabei URL.Path leer lässt. Der Pfad des rewriteRequestBuilder bewertet Routing, Pfadsanitierung, forwardAuth, kodiertenZeichen und Zugriffsprotokollierung gegen einen normalisierten Pfad zu /, leitet jedoch URL.Opaque unverändert an das Backend weiter, wodurch eine Umgehung von cross-vhost-Routing, path-scope-Autorisierungsumgehung und Protokoll-Evasion möglich ist, wenn das Backend das undurchsichtige Ziel als Pfad interpretiert. Dieses Problem wurde in den Versionen 2.11.57 und 3.7.13 behoben.

Quelle: GHSANVDCVELISTV5

Metriken

Severity
high
Priority-Score
74.00
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
8.8
Quelle: cna-v4
CVSS v3
—
CVSS v4
8.8
EPSS-Perzentil
—
EPSS-Score
—
Veröffentlicht
2026-09-10 15:01 UTC
CWE
CWE-1286, CWE-444

Weakness-Klassen (CWE)

  • CWE-1286Base

    Improper Validation of Syntactic Correctness of Input

    The product receives input that is expected to be well-formed - i.e., to comply with a certain syntax - but it does not validate or incorrectly validates that the input complies with the syntax.

    cwe.mitre.org →

  • CWE-444Base

    Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')

    The product acts as an intermediary HTTP agent (such as a proxy or firewall) in the data flow between two entities such as a client and server, but it does not interpret malformed HTTP requests or responses in ways that are consistent with how the messages will be processed by those entities that are at the ultimate destination.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. New CVE Received2026-09-10 16:18 UTC· security-advisories@github.com
    • Description: Traefik is an open source HTTP reverse proxy and load balancer. Prior to 2.11.57, and 3.7.13, Traefik accepts a rootless HTTP/1 request target that Go stores in URL.Opaque while leaving URL.Path empty. The rewriteRequestBuilder path evaluates routing, path sanitization, forwardAuth, encodedCharacters, and access logging against a path normalized to / but forwards URL.Opaque verbatim to the backend, allowing cross-vhost routing bypass, path-scoped authorization bypass, and access-log evasion when the backend interprets the opaque target as a path. This issue is fixed in 2.11.57 and 3.7.13.
    • CVSS V4.0: AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
    • CWE: CWE-444
    • CWE: CWE-1286
  2. CVE Modified2026-09-10 16:18 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-88009","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • go

    github.com/traefik/traefik/v2< 2.11.57

    gefixt in 2.11.57

  • go

    github.com/traefik/traefik/v3>= 3.0.0, < 3.7.13

    gefixt in 3.7.13

Quellen & Referenzen

IDCVE-2026-88009