发布日期: 2025-04-18
版本号: v2.11.24

Traefik 的更新修复了多个安全漏洞，包括 CVE-2025-32431、CVE-2025-22868 和 CVE-2025-22871。一个重要变更是从版本 v2.11.24 开始，请求路径现在会在匹配路由器规则和发送到后端之前进行清理，解释或合并路径中的/../、./ 和重复斜杠段，相关迁移指南可供参考。此外，更新还包含多个错误修复，例如升级了 go-acme/lego、dd-trace-go、redis/go-redis、golang.org/x/net 和 golang.org/x/oauth2 等依赖库，在中间件中为预检响应添加 Content-Length 头部，并清理请求路径。文档方面，添加了内容长度最佳实践并修复了一个用户指南中的拼写错误。

更新内容 （中文）

已修复的CVE：

重要说明：

自 v2.11.24 起，传入的请求路径在用于匹配路由规则并发送到后端之前，现在会被清理。请求路径中的任何 /../、/./ 或重复的斜杠段都会被解释和/或折叠。

请阅读迁移指南。

错误修复：

  • [acme] 升级 github.com/go-acme/lego/v4 至 v4.23.1（#11690，由 ldez 提交）
  • [metrics] 升级 gopkg.in/DataDog/dd-trace-go.v1 至 v1.72.2（#11693，由 kevinpollet 提交）
  • [middleware] 在预检响应中添加 Content-Length 头（#11682，由 lbenguigui 提交）
  • [server] 清理请求路径（#11684，由 rtribotte 提交）
  • 升级 github.com/redis/go-redis/v9 至 v9.7.3（#11695，由 kevinpollet 提交）
  • 升级 golang.org/x/net 至 v0.38.0（#11691，由 kevinpollet 提交）
  • 升级 golang.org/x/oauth2 至 v0.28.0（#11689，由 rtribotte 提交）

文档：

  • [middleware] 添加 content-length 最佳实践文档（#11697，由 sheddy-traefik 提交）
  • 修复用户指南 HTTP Challenge 说明部分的拼写错误（#11676，由 YapWC 提交）

更新内容 （原始）

CVE’s fixed:

Important:

Since v2.11.24, the incoming request path is now cleaned before being used to match the router rules and sent to the backends. Any /../, /./ or duplicate slash segments in the request path is interpreted and/or collapsed.

Please read the migration guide.

Bug fixes:

Documentation:

  • [middleware] Add content-length best practice documentation (#11697 by sheddy-traefik)
  • Typo fix on the Explanation Section for User Guide HTTP Challenge. (#11676 by YapWC)

下载链接