Sploitus 利用聚合·· 3 小时前精选AI 评分73
Traefik CVE-2026-88009 的 PoC 复现：opaque 请求目标绕过 forwardAuth 并隐藏访问日志
Exploit for Improper Validation of Syntactic Correctness of Input in Traefik
AI 导读
公开的 PoC 复现了 Traefik 的 CVE-2026-88009：发送 GET http:http://app.local/private/secret 这类 opaque 请求目标时，代理按 / 路由却原样转发，forwardAuth 收到攻击者构造的 URI 后返回 200，受保护的 /private/secret 被后端返回。
为什么值得看
复现展示了 opaque 请求目标如何绕过 forwardAuth 并让访问日志只记成 /，可据此自查同类部署。
来源：Sploitus 利用聚合 · sploitus.com