جزئیات آسیب‌پذیری

CVE-2026-68525

Apache Software Foundation Apache Tomcat

Apache Tomcat: Redirect after FORM auth may bypass method specific constraints

CVSS 3.1

9.1بحرانی

شرح رسمی (انگلیسی)

Incorrect Authorization vulnerability in Apache Tomcat's FORM authentication process allows the bypassing of a security constraint that limits user has access to a resource POST but not GET. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.24, from 10.1.0-M1 through 10.1.57, from 9.0.0.M1 through 9.0.120. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.25, 10.1.58 or 9.0.121, which fixes the issue.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
9.1بحرانی	3.1	CISA ADP / Vulnrichment (CISA-ADP)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Apache Software Foundation	Apache Tomcat	v < 7.0.0	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	10.1.0-M1 ≤ v ≤ 10.1.57	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	11.0.0-M1 ≤ v ≤ 11.0.24	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	7.0.0 ≤ v ≤ 7.0.109	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	8.5.0 ≤ v ≤ 8.5.100	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	9.0.0.M1 ≤ v ≤ 9.0.120	CVEProject cvelistV5 (CNA)

منابع و راهنماها

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۶/۰۴
آخرین به‌روزرسانی: ۱۴۰۵/۰۶/۰۴
وضعیت: منتشرشده
صادرکننده (CNA): apache

پیش‌بینی بهره‌برداری (EPSS)

۰٫۶۴٪

احتمال بهره‌برداری در ۳۰ روز

۵۱٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: بله
وضعیت بهره‌برداری: ندارد
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-863
Incorrect Authorization