Descripción original
Traefik before 2.11.46, 3.x before 3.6.17, and 3.7.0 lack namespace validation for Ingress and Service annotations in the Kubernetes Ingress provider, allowing references to Middlewares, ServersTransports, and TLSOptions in other namespaces. Attackers able to create or update Ingress or Service resources in one namespace can set router.middlewares or service.serverstransport annotations to obtain another tenant's injected credentials or reuse its client certificates, bypassing namespace-based tenant isolation.
Software afectado
- Traefik ≥ 3.7.0 < 3.7.1< 2.11.46≥ 3.0.0 < 3.6.16≥ 3.0.0 < 3.6.17= 3.7.0 Corregido en: 3.7.1, 2.11.46, 3.6.16, 3.6.17 coincidencia por repositorio o paquete
Detalles
- Publicación
- 2026-10-20
- Última modificación
- 2026-10-20
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:L/SI:H/SA:H- CWE
- CWE-862
Referencias
Controla estas versiones en tus propios servidores
InfraGuard recopila las versiones de software instaladas en cada servidor y señala las que tienen vulnerabilidades conocidas. Autoalojado: nada sale de tu red.
Este producto utiliza datos de la API del NVD, pero no está avalado ni certificado por el NVD. CVE® es una marca registrada de The MITRE Corporation; los registros CVE se utilizan conforme a los Términos de uso del CVE Program.