Vulnerability Details CVE-2026-119574
Traefik from 3.2.0 before 3.7.15 contains a data race in the experimental FastProxy that allows unauthenticated attackers to crash the process by abusing HTTP/1 protocol upgrades. Attackers can repeatedly open and abort upgraded connections such as WebSocket, corrupting the unsynchronized shared bufio.Reader and triggering an unrecovered panic that terminates Traefik.
Exploit prediction scoring system (EPSS) score
EPSS Score 0.003
EPSS Ranking 21.0%
CVSS Severity
CVSS v3 Score 5.9
References
Products affected by CVE-2026-119574
-
cpe:2.3:a:traefik:traefik:3.2.0
-
cpe:2.3:a:traefik:traefik:3.2.1
-
cpe:2.3:a:traefik:traefik:3.2.2
-
cpe:2.3:a:traefik:traefik:3.2.3
-
cpe:2.3:a:traefik:traefik:3.2.4
-
cpe:2.3:a:traefik:traefik:3.2.5
-
cpe:2.3:a:traefik:traefik:3.3.0
-
cpe:2.3:a:traefik:traefik:3.3.1
-
cpe:2.3:a:traefik:traefik:3.3.2
-
cpe:2.3:a:traefik:traefik:3.3.3
-
cpe:2.3:a:traefik:traefik:3.3.4
-
cpe:2.3:a:traefik:traefik:3.3.5
-
cpe:2.3:a:traefik:traefik:3.3.6
-
cpe:2.3:a:traefik:traefik:3.3.7
-
cpe:2.3:a:traefik:traefik:3.4.0
-
cpe:2.3:a:traefik:traefik:3.4.1
-
cpe:2.3:a:traefik:traefik:3.4.2
-
cpe:2.3:a:traefik:traefik:3.4.3
-
cpe:2.3:a:traefik:traefik:3.4.4
-
cpe:2.3:a:traefik:traefik:3.4.5
-
cpe:2.3:a:traefik:traefik:3.5.0
-
cpe:2.3:a:traefik:traefik:3.5.1
-
cpe:2.3:a:traefik:traefik:3.5.2
-
cpe:2.3:a:traefik:traefik:3.5.3
-
cpe:2.3:a:traefik:traefik:3.5.4
-
cpe:2.3:a:traefik:traefik:3.5.5
-
cpe:2.3:a:traefik:traefik:3.5.6
-
cpe:2.3:a:traefik:traefik:3.6.0
-
cpe:2.3:a:traefik:traefik:3.6.1
-
cpe:2.3:a:traefik:traefik:3.6.10
-
cpe:2.3:a:traefik:traefik:3.6.11
-
cpe:2.3:a:traefik:traefik:3.6.12
-
cpe:2.3:a:traefik:traefik:3.6.13
-
cpe:2.3:a:traefik:traefik:3.6.14
-
cpe:2.3:a:traefik:traefik:3.6.15
-
cpe:2.3:a:traefik:traefik:3.6.16
-
cpe:2.3:a:traefik:traefik:3.6.17
-
cpe:2.3:a:traefik:traefik:3.6.18
-
cpe:2.3:a:traefik:traefik:3.6.19
-
cpe:2.3:a:traefik:traefik:3.6.2
-
cpe:2.3:a:traefik:traefik:3.6.20
-
cpe:2.3:a:traefik:traefik:3.6.21
-
cpe:2.3:a:traefik:traefik:3.6.22
-
cpe:2.3:a:traefik:traefik:3.6.23
-
cpe:2.3:a:traefik:traefik:3.6.24
-
cpe:2.3:a:traefik:traefik:3.6.25
-
cpe:2.3:a:traefik:traefik:3.6.3
-
cpe:2.3:a:traefik:traefik:3.6.4
-
cpe:2.3:a:traefik:traefik:3.6.5
-
cpe:2.3:a:traefik:traefik:3.6.6
-
cpe:2.3:a:traefik:traefik:3.6.7
-
cpe:2.3:a:traefik:traefik:3.6.8
-
cpe:2.3:a:traefik:traefik:3.6.9
-
cpe:2.3:a:traefik:traefik:3.7.0
-
cpe:2.3:a:traefik:traefik:3.7.1
-
cpe:2.3:a:traefik:traefik:3.7.10
-
cpe:2.3:a:traefik:traefik:3.7.11
-
cpe:2.3:a:traefik:traefik:3.7.12
-
cpe:2.3:a:traefik:traefik:3.7.13
-
cpe:2.3:a:traefik:traefik:3.7.14
-
cpe:2.3:a:traefik:traefik:3.7.2
-
cpe:2.3:a:traefik:traefik:3.7.3
-
cpe:2.3:a:traefik:traefik:3.7.4
-
cpe:2.3:a:traefik:traefik:3.7.5
-
cpe:2.3:a:traefik:traefik:3.7.6
-
cpe:2.3:a:traefik:traefik:3.7.7
-
cpe:2.3:a:traefik:traefik:3.7.8
-
cpe:2.3:a:traefik:traefik:3.7.9