CVE-2026-54763

Traefik: spoofing nagłówków tożsamości przez warianty z podkreślnikiem

CVSS 7.8v4.0pub. 2026-07-06upd. 2026-07-08

Podatność w Traefik pozwala atakującemu na sfałszowanie nagłówków tożsamości lub autoryzacji przekazywanych do backendu poprzez wstrzyknięcie wariantów nagłówków z podkreślnikiem zamiast myślnika. Dotyczy middleware'ów BasicAuth, DigestAuth oraz ForwardAuth i umożliwia ominięcie mechanizmów uwierzytelnienia.

▸ Pokaż oryginał (EN)

Traefik is an HTTP reverse proxy and load balancer. Prior to v2.11.51, v3.6.22, and v3.7.6, Traefik's BasicAuth, DigestAuth, and ForwardAuth middlewares strip canonical-cased spoofed identity headers before writing Traefik's own value, but do not account for underscore-variant header names, which many backends normalize identically to dashed forms. An attacker able to reach a protected route can inject an underscore-variant header that survives Traefik's stripping and reaches the backend alongside, or on the unauthenticated ForwardAuth authResponseHeaders path instead of, the value Traefik intended to set, spoofing identity or authorization context. This issue is fixed in versions v2.11.51, v3.6.22, and v3.7.6.

🤖 Analiza AI

Jak działa

Traefik przed zaaplikowaniem własnych nagłówków tożsamości usuwa ich sfałszowane odpowiedniki — jednak wyłącznie w kanonicznej formie z myślnikiem (np. X-Forwarded-User). Nie usuwa przy tym wariantów z podkreślnikiem (np. X_Forwarded_User), które wiele backendów normalizuje identycznie do formy z myślnikiem. Atakujący docierający do chronionej trasy może wstrzyknąć taki nagłówek z podkreślnikiem, który przetrwa filtrowanie Traefika i dotrze do backendu obok — lub zamiast — wartości ustawionej przez Traefika. W przypadku ścieżki ForwardAuth z parametrem authResponseHeaders możliwe jest podstawienie własnej wartości nawet bez uwierzytelnienia.

Skutki

Atakujący może podszyć się pod innego użytkownika lub sfałszować kontekst autoryzacji widoczny przez backend, co prowadzi do nieuprawnionego dostępu do zasobów chronionych mechanizmami uwierzytelnienia Traefika.

Mitygacja

Należy zaktualizować Traefik do wersji v2.11.51, v3.6.22 lub v3.7.6, w których problem został naprawiony. Do czasu aktualizacji zaleca się dodatkową walidację nagłówków po stronie backendu oraz blokowanie nagłówków z podkreślnikiem na poziomie infrastruktury.

Kogo dotyczy

Traefik w wersjach wcześniejszych niż v2.11.51, v3.6.22 oraz v3.7.6 — wszystkie instancje korzystające z middleware'ów BasicAuth, DigestAuth lub ForwardAuth.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X