جزئیات آسیب‌پذیری

CVE-2026-68569

Apache Software Foundation Apache Tomcat

Apache Tomcat: Principal lookup can fail open in some cases

CVSS 3.1

8.1بالا

شرح رسمی (انگلیسی)

Improper Authentication vulnerability in Apache Tomcat meant that in some circumstances (e.g. CLIENT-CERT, SPNEGO) that a user would be authenticated even if the user did not exist in the DataSourceRealm. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.24, from 10.1.0-M1 through 10.1.57, from 9.0.0.M1 through 9.0.120. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.25, 10.1.58 or 9.0.121, which fix the issue.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.1بالا	3.1	CISA ADP / Vulnrichment (CISA-ADP)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Apache Software Foundation	Apache Tomcat	v < 7.0.0	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	10.1.0-M1 ≤ v ≤ 10.1.57	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	11.0.0-M1 ≤ v ≤ 11.0.24	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	7.0.0 ≤ v ≤ 7.0.109	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	8.5.0 ≤ v ≤ 8.5.100	CVEProject cvelistV5 (CNA)
Apache Software Foundation	Apache Tomcat	9.0.0.M1 ≤ v ≤ 9.0.120	CVEProject cvelistV5 (CNA)

منابع و راهنماها

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۶/۰۴
آخرین به‌روزرسانی: ۱۴۰۵/۰۶/۳۰
وضعیت: منتشرشده
صادرکننده (CNA): apache

پیش‌بینی بهره‌برداری (EPSS)

۰٫۴۶٪

احتمال بهره‌برداری در ۳۰ روز

۴۰٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: ندارد
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-287
Improper Authentication