CVE-2026-88008 в Traefik: h2c-туннель обходит middleware и BasicAuth

В Traefik нашли уязвимость CVE-2026-88008 (CVSS 7.0): при ответе бэкенда 101 Switching Protocols на запрос Upgrade: h2c соединение превращается в туннель, и последующие HTTP/2-запросы идут в обход роутеров и middleware. Атакующий без аутентификации через публичный путь получает доступ к защищённому BasicAuth. Исправлено в версиях 2.11.57 и 3.7.13.

• Уязвимы Traefik 2.11.26–2.11.56 и 3.4.2–3.7.12, исправление в 2.11.57 и 3.7.13
• CVSS 7.0 по v4.0, часть бюллетеней указывает 9.1 по CVSS 3.1
• Атака требует общего бэкенда для публичного и защищённого роутеров и ответа 101 на Upgrade: h2c
• После открытия туннеля middleware и BasicAuth не применяются к HTTP/2-запросам