热点事件持续更新

Traefik认证绕过PoC公开，v3.7.13已修复

1 篇报道1 个报道来源3 小时前更新

先了解这件事

AI 综述

公开的PoC复现了Traefik的CVE-2026-88009：攻击者发送形如 GET http:http://app.local/private/secret 的opaque请求目标时，Traefik按 / 路由，却把目标原样转发给后端。forwardAuth虽然被调用，但收到的是攻击者构造的URI并返回200，导致受保护的 /private/secret 被后端返回；PoC还演示了访问日志被隐藏。 PoC作者称，该端到端利用依赖后端把无根路径解析为实际路径，拒绝此类目标的后端可阻断这一具体利用，但代理中的认证绕过逻辑仍然存在。报道称 traefik:v3.7.13 已修复：opaque目标在路由前即被拒绝。

AI 根据报道生成 · 1 小时前更新

最新进展10月25日 08:02

Traefik CVE-2026-88009 的 PoC 复现：opaque 请求目标绕过 forwardAuth 并隐藏访问日志

报道时间线

沿着报道，了解事件的不同侧面。

10月25日

08:02
Sploitus 利用聚合精选
Traefik CVE-2026-88009 的 PoC 复现：opaque 请求目标绕过 forwardAuth 并隐藏访问日志
公开的 PoC 复现了 Traefik 的 CVE-2026-88009：发送 GET http:http://app.local/private/secret 这类 opaque 请求目标时，代理按 / 路由却原样转发，forwardAuth 收到攻击者构造的 URI 后返回 200，受保护的 /private/secret 被后端返回。

本事件热度走势

还没有足够的连续观测数据，暂不绘制趋势。