CVE-2026-85594
CVE-2026-85594 · Traefik v3.7.1 crossProviderNamespaces Bypass via Service Middleware
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Traefik versions from v3.7.1 fail to enforce crossProviderNamespaces restrictions on the traefik.ingress.kubernetes.io/service.middlewares Service annotation in the Kubernetes Ingress provider. A namespace-limited tenant excluded from the allowlist can attach an operator-owned middleware to its Service, and if that middleware injects backend credentials, recover them at a controlled backend.
CVSS 7.0 · Alta · EPSS 0,5%
- Publicación
- Actualización
Pila tecnológica: web
Productos y versiones afectados
traefik
- Versiones
- ≥ 3.7.1, ≤ 3.7.12: Afectada (semver)
Sin corrección publicada