CVE-2026-85594

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.2%
CWE: CWE-639
KEV Durumu: Hayır

Yayım tarihi: 4 Eylül 2026

Etkilenen: traefik traefik

Traefik sürümleri v3.7.1'den itibaren, Kubernetes Ingress sağlayıcısında traefik.ingress.kubernetes.io/service.middlewares Hizmet anotasyonunda crossProviderNamespaces kısıtlamalarını zorlamayı başaramaz. Allowlistten çıkarılan ve ad alanı ile sınırlı bir kiracı, operatör tarafından sahip olunan bir ara yazılımı Hizmetine ekleyebilir ve bu ara yazılım arka uç kimlik bilgilerini enjekte ederse, bunları kontrol edilen bir arka uçta geri alabilir.

Orijinal açıklama (İngilizce)

Traefik versions from v3.7.1 fail to enforce crossProviderNamespaces restrictions on the traefik.ingress.kubernetes.io/service.middlewares Service annotation in the Kubernetes Ingress provider. A namespace-limited tenant excluded from the allowlist can attach an operator-owned middleware to its Service, and if that middleware injects backend credentials, recover them at a controlled backend.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.