文章总结： Traefik曝出CVSS9.8认证绕过漏洞CVE-2026-88877，影响3.7.0至3.7.11版本，主要涉及Kubernetes环境ingress-nginxProvider。攻击者可构造恶意HostHeader绕过BasicAuth及Source-IPAllowlist访问受保护后端。建议立即升级至3.7.12或更高版本，并排查相关IngressAnnotation配置及异常访问日志。 综合评分： 85 文章分类： 漏洞预警,应用安全,网络安全

紧急安全预警｜Traefik曝CVSS 9.8认证绕过漏洞(CVE-2026-88877)，可绕过BasicAuth访问受保护后端

原创

tuto tuto

杂杂咱谈

2026年9月12日 00:12 福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞概述

Traefik被曝一枚CVSS 9.8 Critical级认证绕过漏洞，编号CVE-2026-88877。

漏洞影响的范围为Traefik 3.7.0–3.7.11，主要涉及Kubernetes环境下的ingress-nginx Provider。

在特定配置组合下，攻击者可以构造恶意HTTP Host Header，绕过由Annotation派生的认证与访问控制中间件，例如BasicAuth和Source-IP Allowlist，从而直接访问原本受到保护的后端服务。

二、漏洞基本信息

| 项目 | 信息 | | — | — | | CVE编号 | CVE-2026-88877 | | 漏洞类型 | 认证绕过 / 访问控制绕过 | | 严重程度 | Critical | | CVSS 3.1 | 9.8 | | 受影响组件 | Kubernetes ingress-nginx Provider | | 受影响版本 | 3.7.0–3.7.11 | | 修复版本 | 3.7.12 | | 攻击方式 | 恶意 Host Header | | 主要影响 | 绕过认证及IP访问控制 |

三、漏洞触发条件

该漏洞并非所有Traefik配置都会受到影响，需要满足特定的配置组合。

问题与：

• from-to-www-redirect
• Authentication Annotation
• Annotation-derived Middleware

之间的组合有关。

当相关配置同时存在时，攻击者可以通过构造特殊的Host Header，导致Traefik对请求进行错误处理，使原本应该应用于后端的认证/访问控制中间件被绕过。

四、攻击方式

攻击者首先向目标Traefik服务发送经过特殊构造的HTTP请求，并通过修改：

Host: [恶意构造的主机名]

从而触发from-to-www-redirect与Annotation Middleware之间的处理逻辑。

正常情况下：

客户端 ↓Traefik ↓BasicAuth/Source-IP Allowlist ↓认证通过 ↓后端服务

利用漏洞后：

攻击者 ↓恶意Host Header ↓Traefik ↓Middleware处理逻辑被绕过 ↓绕过BasicAuth ↓绕过Source-IP Allowlist ↓受保护Backend

因此，该漏洞的核心问题并不是直接执行代码，而是攻击者能够绕过原本用于保护后端服务的访问控制机制。

五、潜在影响

如果受影响的Traefik实例负责保护内部管理面板、API或其他敏感业务服务，认证绕过可能导致攻击者直接访问：

• 未公开的 Web 服务；
• 内部 API；
• 管理后台；
• Kubernetes 相关业务接口；
• 受 Source-IP 限制的服务；
• 原本要求 BasicAuth 的应用。

实际影响取决于被Traefik代理的后端服务以及其自身的认证机制。

因此，如果所部署的环境后端完全依赖Traefik提供的BasicAuth或IP Allowlist进行访问控制，该漏洞的风险尤其高。

六、受影响版本

根据提供的信息：

Traefik 3.7.0Traefik 3.7.1...Traefik 3.7.11

均属于受影响版本。

已修复版本

Traefik 3.7.12

使用Kubernetes + Traefik的用户应重点确认当前运行版本。

七、修复与缓解建议

1. 立即升级

建议将Traefik升级至：

Traefik 3.7.12或更高版本

这是最直接的修复措施。

2. 检查Kubernetes配置

重点搜索Traefik Ingress配置中是否同时使用：

• from-to-www-redirect
• BasicAuth Annotation
• Source-IP Allowlist
• 其他基于 Annotation 自动生成的 Middleware

3. 检查受保护服务

重点确认哪些后端服务依赖Traefik实现：

BasicAuth+Source-IP Allowlist

如果后端自身没有额外认证机制，应优先排查。

4. 检查异常访问

对于已经运行受影响版本并暴露公网的环境，建议审计：

• Traefik Access Log；
• 异常 Host Header；
• 异常重定向请求；
• 未认证访问记录；
• 原本受 IP Allowlist 限制的服务访问情况；
• 管理接口和内部 API 的异常请求。

八、总结

CVE-2026-88877是一枚影响Kubernetes(k8s) Traefik部署环境漏洞评分为CVSS 9.8 Critical认证绕过漏洞。

核心攻击链可以概括为：

恶意Host Header      ↓触发特定Redirect + Annotation组合      ↓Middleware派生/应用异常      ↓绕过BasicAuth      ↓绕过Source-IP Allowlist      ↓访问受保护Backend

对于使用Kubernetes + Traefik的企业，尤其是将Traefik作为统一入口并依赖Middleware进行认证和IP限制的环境，建议立即进行版本核查。

受影响版本: 3.7.0–3.7.11 修复版本: 3.7.12

安全建议: 立即升级Traefik 3.7.12+，并排查相关Ingress Annotation、Middleware及异常Host Header请求。

Simple #CVE-2026-88877 #Traefik #k8s

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：杂杂咱谈 tuto tuto《紧急安全预警｜Traefik曝CVSS 9.8认证绕过漏洞(CVE-2026-88877)，可绕过BasicAuth访问受保护后端》