CVE-2026-41059OAuth2 Proxy在7.5.0至7.15.1版本中存在一个依赖于特定配置的身份验证绕过漏洞。当系统启用了`skip_auth_routes`或`skip_auth_regex`功能，并且使用了可被后缀扩展的正则表达式模式时，攻击者可以利用URL片段标识符绕过安全检查。具体而言，攻击者发送包含井号或其编码形式的恶意请求，欺骗代理匹配公开路径规则，从而成功访问本应受保护的后端敏感资源。
该漏洞的核心在于OAuth2 Proxy处理URL路径规范化时的逻辑缺陷。在受影响的版本中，如果部署环境使用了`skip_auth_routes`或遗留的`skip_auth_regex`配置，且正则表达式模式（如`^/foo/.*/bar$`）允许通过攻击者控制的后缀来扩展匹配范围，系统便面临风险。攻击者无需经过身份认证，即可构造包含`#`或`%23`（浏览器安全编码形式）的特制HTTP请求。由于OAuth2 Proxy在进行跳过认证匹配时，未能正确处理URL片段内容，导致请求被匹配到允许公开访问的规则列表。然而，后端应用程序通常将`#`视为片段分隔符并忽略其后的内容，或者将请求路由到受保护的基路径（例如`/foo/secret`）。这种处理差异使得攻击者能够绕过代理层的安全验证，直接获取受保护应用的敏感数据或执行未授权操作。官方在7.15.2版本中通过更保守地规范化请求路径解决了该问题。