PT-2026-36183 · Traefik · Traefik
Tamemghq
·
Publicado
2026-04-15
·
Atualizado
2026-05-05
·
CVE-2026-41174
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Traefik versões anteriores a 2.11.43
Traefik versões anteriores a 3.6.14
Traefik versões anteriores a 3.7.0-rc.2
Descrição
Existe um problema na aplicação do isolamento entre namespaces do provedor Kubernetes CRD. Quando
providers.kubernetesCRD.allowCrossNamespace está definido como false, o sistema não consegue restringir referências de middleware aninhadas na lista spec.chain.middlewares[] de um middleware Chain, embora referências diretas de objetos IngressRoute sejam corretamente rejeitadas. Um ator com permissões para criar ou atualizar CRDs do Traefik em seu próprio namespace pode burlar a fronteira de isolamento para resolver e aplicar objetos de middleware de um namespace diferente.Recomendações
Atualize para a versão 2.11.43.
Atualize para a versão 3.6.14.
Atualize para a versão 3.7.0-rc.2.
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Traefik