- Yama var
- Son 7 gün
- CWE-306
CVE-2026-114636
Traefik'te ssl-passthrough Ingress HTTP yönlendiricisi kimlik doğrulamasını atlatabiliyor
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Traefik v3.7.13 sürümünden v3.7.14 öncesine kadar olan sürümlerde, Kubernetes Ingress NGINX sağlayıcısında bir erişim denetimi atlatma açığı bulunmaktadır. ssl-passthrough Ingress'leri için TLS olmayan giriş noktalarında oluşturulan HTTP yönlendiricisi, Ingress'in erişim denetimi açıklamalarını hiçbir zaman uygulamamaktadır. Kimlik doğrulaması yapılmamış saldırganlar, Ingress ana bilgisayarıyla HTTP giriş noktasına ulaşarak auth-type, auth-url veya whitelist-source-range açıklamalarıyla korunan arka uç sistemlerine erişebilir ve bu erişim hiçbir şekilde kaydedilmez.
Kaynaktaki açıklama (İngilizce)
Traefik v3.7.13 before v3.7.14 contains an access-control bypass in the Kubernetes Ingress NGINX provider, where the HTTP router generated for ssl-passthrough Ingresses on non-TLS entry points never applies the Ingress's access-control annotations. Unauthenticated attackers reaching the HTTP entry point with the Ingress host can access backends protected by auth-type, auth-url, or whitelist-source-range annotations, with nothing logged.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| traefik | ≥ 3.7.13, < 3.7.14 | 3.7.14 |
| 3.7.14 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.