CVE-2026-59083
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność w mechanizmie przepisywania adresów URL (rewrite valve) Apache Tomcat umożliwia ominięcie ograniczeń bezpieczeństwa poprzez nieprawidłowe kodowanie szesnastkowe. Problem dotyczy wielu wersji Tomcat, w tym 11.0.0-M1 do 11.0.23, 10.1.0-M1 do 10.1.56, 9.0.0-M1 do 9.0.119 oraz 8.5.0 do 8.5.100.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do ominięcia reguł bezpieczeństwa zdefiniowanych w rewrite valve, co może prowadzić do nieautoryzowanego dostępu do chronionych zasobów.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache Tomcat do wersji 11.0.24, 10.1.57 lub 9.0.120, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Improper Handling of URL Encoding (Hex Encoding) vulnerability in Apache Tomcat's rewrite valve allowed security constraint bypass for some configurations. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.23, from 10.1.0-M1 through 10.1.56, from 9.0.0.M1 through 9.0.119, from 8.5.0 through 8.5.100. Other versions that have reached end of support may also be affected. Users are recommended to upgrade to version 11.0.24, 10.1.57 or 9.0.120, which fix the issue.