CVE-2026-59084
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Apache Tomcat wykryto podatność związaną z niewystarczającą dokumentacją techniczną, która nie opisywała jasno wymagań bezpiecznej konfiguracji EncryptInterceptor. Problem dotyczy wielu wersji Tomcat od 7.0.100 do 11.0.23.
Ocena ryzyka
Organizacja może nieświadomie skonfigurować EncryptInterceptor w sposób niebezpieczny, co może prowadzić do przechwycenia lub modyfikacji przesyłanych danych przez nieautoryzowane osoby.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Tomcat do wersji 11.0.24, 10.1.57 lub 9.0.120, które zawierają poprawioną dokumentację i eliminują ryzyko błędnej konfiguracji.
Oryginalny opis (angielski, źródło NVD)
Insufficient Technical Documentation vulnerability in Apache Tomcat since the requirements to securely configure the EncryptInterceptor were not clearly documented. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.23, from 10.1.0-M1 through 10.1.56, from 9.0.13 through 9.0.119, from 8.5.38 through 8.5.100, from 7.0.100 through 7.0.109. Other versions that have reached end of support may also be affected. Users are recommended to upgrade to version 11.0.24, 10.1.57 or 9.0.120 which fix the issue.