جزئیات آسیب‌پذیری
CVE-2026-34486
بهره‌برداری فعال
Apache Software Foundation Apache TomcatRed Hat Enterprise Linux 9
Apache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptor
CVSS 3.1
7.5بالا
شرح رسمی (انگلیسی)
Missing Encryption of Sensitive Data vulnerability in Apache Tomcat due to the fix for CVE-2026-29146 allowing the bypass of the EncryptInterceptor. This issue affects Apache Tomcat: 11.0.20, 10.1.53, 9.0.116. Users are recommended to upgrade to version 11.0.21, 10.1.54 or 9.0.117, which fix the issue.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 3.1 | CISA ADP / Vulnrichment (CISA-ADP) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (redhat-SADP) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Apache Software Foundation | Apache Tomcat | 10.1.53 | CVEProject cvelistV5 (CNA) |
| Apache Software Foundation | Apache Tomcat | 11.0.20 | CVEProject cvelistV5 (CNA) |
| Apache Software Foundation | Apache Tomcat | 9.0.116 | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Enterprise Linux 9 | همه | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲۱- https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly vendor-advisory
- https://socradar.io/blog/snowlight-government-chinese-campaign/ third-party-advisory
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-34486 government-resource
- https://www.vicarius.io/vsociety/posts/cve-2026-34486-detection-script-rce-on-apache-tomcat
- https://www.vicarius.io/vsociety/posts/cve-2026-34486-mitigation-script-rce-on-apache-tomcat
- https://access.redhat.com/security/cve/CVE-2026-34486 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2457027 issue-trackingx_refsource_REDHAT
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-34486.json x_sadp-csaf-vex
- https://access.redhat.com/errata/RHSA-2026:39188 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:38505 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36787 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36789 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36788 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36790 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:37137 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:37136 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36878 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36876 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36877 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36879 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:39189 vendor-advisoryx_refsource_REDHAT
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۱/۲۰
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۳۰
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- apache
فهرست KEV آژانس CISA
- تاریخ افزوده‌شدن
- ۱۴۰۵/۰۵/۱۳
- مهلت رفع
- ۱۴۰۵/۰۵/۱۶
- استفاده در باج‌افزار
- نامشخص
پیش‌بینی بهره‌برداری (EPSS)
۹۸٫۵٪
احتمال بهره‌برداری در ۳۰ روز
۹۹٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- فعال
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-311Missing Encryption of Sensitive Data
- CWE-807Reliance on Untrusted Inputs in a Security Decision