CVE-2026-65182
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność dotycząca nieprawidłowej kontroli dostępu i autoryzacji w Apache Tomcat, prowadząca do obejścia ograniczeń bezpieczeństwa, jeśli ograniczenie dla dłuższej ścieżki jest zdefiniowane przed bardziej restrykcyjnym ograniczeniem dla krótszej pod-ścieżki. Dotyczy szerokiego zakresu wersji od 7.0.0 do 11.0.24.
Ocena ryzyka
Atakujący może obejść zabezpieczenia dostępu, uzyskując dostęp do zasobów, które powinny być chronione, co może prowadzić do nieautoryzowanego dostępu do danych lub funkcji.
Rekomendacja
Zaleca się aktualizację do wersji 11.0.25, 10.1.58 lub 9.0.121, które naprawiają ten problem.
Oryginalny opis (angielski, źródło NVD)
Improper Access Control, Incorrect Authorization vulnerability in Apache Tomcat leads to security constraint bypass if a constraint for a longer path is specified before a more restrictive constraint for a shorter sub-path. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.24, from 10.1.0-M1 through 10.1.57, from 9.0.0.M1 through 9.0.120, from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Users are recommended to upgrade to version 11.0.25, 10.1.58, 9.0.121, which fixes the issue.