CVE-2026-48020: Contorno de Autenticação no Middleware StripPrefix do Traefik

Visão geral

A CVE-2026-48020 é classificada sob o CWE-288 (Contorno de Autenticação Usando Caminho ou Canal Alternativo). O registro da NVD descreve um cenário em que um router público com regra PathPrefix e o middleware StripPrefix pode permitir que um caminho de requisição com segmentos de diretório (.. ou %2e%2e) seja tratado como rota pública no momento da correspondência e, após a remoção do prefixo e a normalização, resolva para um caminho servido por um router autenticado separado. A descrição está disponível na entrada da NVD e no registro CVE.

Impacto

O registro afirma que um atacante não autenticado pode alcançar caminhos protegidos do backend, como endpoints administrativos ou de configuração interna, sem atender ao middleware de autenticação do router protegido.
A NVD atribui nota 10.0 pelo CVSS 3.1, com alto impacto em confidencialidade e integridade e sem impacto em disponibilidade. O registro também traz nota 7.8 pelo CVSS 4.0 do CNA do GitHub e nota 9.1 pelo CVSS 3.1 de um provedor não identificado no registro.
O campo de severidade do registro indica crítica, enquanto a descrição fala em alta severidade. O registro não explica essa diferença.

Produtos e versões afetadas

Produto listado: Traefik Traefik.
Faixas afetadas: versões anteriores a 2.11.48; versões a partir de 3.0.0 até antes de 3.6.19; e versões a partir de 3.7.0 até antes de 3.7.3.
Versões corrigidas citadas no registro: 2.11.48, 3.6.19 e 3.7.3.
Implantações que usam routers PathPrefix com StripPrefix em rotas públicas correspondem à configuração descrita no registro. Confirmar se um ambiente se enquadra nesse padrão exige análise local.

Status de exploração

A marcação de catálogo KEV no registro é falsa, portanto a CVE não consta como explorada conhecidamente segundo os dados do registro.
Não há exploração ativa confirmada nas fontes consultadas.
O aviso do GitHub está marcado com a tag Exploit na lista de referências. Essa tag não confirma que houve exploração, e o conteúdo associado não estava disponível para verificação.
A pontuação EPSS não consta no registro.

Correção e mitigação

Atualize o Traefik para 2.11.48 ou superior na linha 2.11, 3.6.19 ou superior na linha 3.6, ou 3.7.3 ou superior na linha 3.7, conforme o aviso do GitHub.
Priorize implantações que expõem routers públicos com PathPrefix combinados a StripPrefix e confirme que backends protegidos não são acessíveis por essas rotas públicas.
Consulte o aviso do fornecedor e as notas de versão para orientações adicionais sobre mudanças de configuração antes e depois da atualização.
O registro não documenta uma solução de contorno, portanto controles compensatórios não podem ser verificados com os dados disponíveis.

Orientações de detecção

Revise os logs de acesso de rotas públicas em busca de requisições com segmentos de diretório ou suas formas codificadas e verifique se alguma delas alcançou caminhos protegidos do backend.
Verifique se caminhos administrativos ou de configuração interna foram acessados sem o contexto de autenticação esperado.
Confirme a versão do Traefik em execução contra as versões corrigidas listadas acima em todos os ambientes, incluindo imagens de contêiner e nós de balanceamento.

Limitações das informações disponíveis

O registro não descreve as condições exatas em que a etapa de normalização resolve para um router protegido, por isso a exposição de um ambiente específico não pode ser determinada apenas pelo registro.
A divergência entre o campo de severidade crítica e o texto de alta severidade não é explicada.
O provedor da nota 9.1 não é identificado no registro.
Não há detalhes de prova de conceito, soluções de contorno ou telemetria de exploração nas fontes consultadas.

Perguntas frequentes

Quais versões do Traefik são corrigidas na CVE-2026-48020?

O registro indica correções nas versões 2.11.48, 3.6.19 e 3.7.3. As faixas afetadas são versões anteriores a 2.11.48, de 3.0.0 até antes de 3.6.19, e de 3.7.0 até antes de 3.7.3.

A CVE-2026-48020 é conhecida por ser explorada?

O registro mostra a marcação KEV como falsa e não há exploração ativa confirmada nas fontes consultadas. O aviso do GitHub tem a tag Exploit, mas isso não confirma exploração.

Qual pontuação CVSS deve ser usada?

A NVD atribui 10.0 pelo CVSS 3.1. O registro também traz 7.8 pelo CVSS 4.0 do CNA do GitHub e 9.1 pelo CVSS 3.1 de um provedor não nomeado, então a pontuação depende da fonte usada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.