Anmelden
Deutsch English Español Polski
Kritisch

Apache Tomcat - Security constraints not correctly applied

  • Veröffentlicht: 12.05.2026
  • Aktualisiert: 11.10.2026 13:20

Versions Affected: Apache Tomcat 11.0.0-M1 to 11.0.21 Apache Tomcat 10.1.0-M1 to 10.1.54 Apache Tomcat 9.0.0.M1 to 9.0.117 Older, unsupported versions may also be affected

Description: When multiple security constraints defined an HTTP method constraint for the same extension pattern, only the first method constraint was applied.

Mitigation: Users of the affected versions should apply one of the following mitigations:

  • Upgrade to Apache Tomcat 11.0.22 or later
  • Upgrade to Apache Tomcat 10.1.55 or later
  • Upgrade to Apache Tomcat 9.0.118 or later

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.apache.tomcat.embed:tomcat-embed-core < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
Java / Kotlin (Maven) org.apache.tomcat:tomcat < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
Java / Kotlin (Maven) org.apache.tomcat:tomcat-catalina < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22

Verweise

CVSS-Wert 9.1/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Schwäche (CWE)
CWE-285
Plattform
Java / Kotlin (Maven)
Paket
org.apache.tomcat.embed:tomcat-embed-core, org.apache.tomcat:tomcat, org.apache.tomcat:tomcat-catalina
Veröffentlicht
12.05.2026
Aktualisiert
11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-5m62-pw8w-7w9f - CC BY 4.0

Schwachstellenhistorie: org.apache.tomcat:tomcat

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (162) im Archiv
Einträge insgesamt
162
Erste → letzte
12.2018 08.2026
Ohne Fix
20
In Angriffen ausgenutzt
1

Verteilung nach Schweregrad

  • Kritisch 8
  • Hoch 40
  • Mittel 102
  • Niedrig 12

Veröffentlichungen pro Jahr

Schweregrad:
  1. Apache Tomcat's DIGEST authenticator has an Authentication Bypass by Capture-replay vulnerability
    Kritisch · 9.8 CVE-2026-65905 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0.M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.30, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  2. Apache Tomcat has an Improper Access Control, Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2026-65182 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  3. Apache Tomcat's FORM authentication process has an Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2026-68525 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  4. Apache Tomcat: Unbounded read in WebDAV LOCK and PROPFIND handling
    Hoch · 7.5 CVE-2026-41284 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  5. Apache Tomcat - Digest authenticator will authenticate any unknown user
    Kritisch · 9.8 CVE-2026-43512 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  6. Apache Tomcat: LockOutRealm treats user names as case-sensitive
    Hoch · 7.5 CVE-2026-43513 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  7. Apache Tomcat - Security constraints not correctly applied dieser Eintrag
    Kritisch · 9.1 CVE-2026-43515 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  8. Apache Tomcat - WebSocket authentication header exposure
    Hoch · 7.3 CVE-2026-42498 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  9. Apache Tomcat - HTTP/2 request headers not validated
    Kritisch · 9.8 CVE-2026-41293 >= 8.5.0, < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  10. Apache Tomcat vulnerable to Insertion of Sensitive Information into Log File
    Hoch · 7.5 CVE-2026-34487 >= 9.0.13, < 9.0.117, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.117, 10.1.54, 11.0.21
  11. Apache Tomcat has an Improper Encoding or Escaping of Output vulnerability in the JsonAccessLogValve
    Hoch · 7.5 CVE-2026-34483 >= 9.0.40, < 9.0.116, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.116, 10.1.54, 11.0.21
  12. Apache Tomcat Missing Encryption of Sensitive Data vulnerability
    Hoch · 7.5 In Angriffen ausgenutzt CVE-2026-34486 >= 11.0.20, < 11.0.21, >= 10.1.53, < 10.1.54, >= 9.0.116, < 9.0.117 11.0.21, 10.1.54, 9.0.117
  13. Apache Tomcat: Padding Oracle vulnerability in EncryptInterceptor
    Hoch · 7.5 CVE-2026-29146 >= 9.0.13, < 9.0.116, >= 10.1.50, < 10.1.53, >= 11.0.0-M1, < 11.0.20, >= 8.5.38, <= 8.5.100, >= 7.0.100, <= 7.0.109 9.0.116, 10.1.53, 11.0.20
  14. Apache Tomcat: CLIENT_CERT authentication does not fail as expected
    Kritisch · 9.1 CVE-2026-29145 >= 9.0.83, < 9.0.116, >= 10.1.0-M7, < 10.1.53, >= 11.0.0-M1, < 11.0.20 9.0.116, 10.1.53, 11.0.20
  15. Apache Tomcat: Configured cipher preference order not preserved
    Hoch · 7.5 CVE-2026-29129 >= 9.0.114, < 9.0.116, >= 10.1.51, < 10.1.53, >= 11.0.16, < 11.0.20 9.0.116, 10.1.53, 11.0.20
  16. Apache Tomcat Vulnerable to Relative Path Traversal
    Hoch · 7.5 CVE-2025-55752 >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.0-M11, < 9.0.109, >= 8.5.6, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
  17. Deserialization of Untrusted Data in Apache Tomcat
    Hoch CVE-2013-2185 < 7.0.39 7.0.39
  18. Improper Neutralization of Input During Web Page Generation in Apache Tomcat
    Hoch · 8.1 CVE-2015-5346 >= 9.0.0.M1, < 9.0.0.M2, >= 8.0.0.RC1, < 8.0.31, >= 7.0.0, < 7.0.66 9.0.0.M2, 8.0.31, 7.0.66
  19. Apache Tomcat allows remote attackers to bypass a CSRF protection mechanism by using a token
    Hoch · 8.8 CVE-2015-5351 < 7.0.68, >= 8.0.0, < 8.0.31, >= 9.0.0.M0, < 9.0.0.M2 7.0.68, 8.0.31, 9.0.0.M2
  20. Apache Tomcat does not enforce the maxHttpHeaderSize limit
    Hoch · 7.5 CVE-2011-0534 >= 6.0.0, < 6.0.32, >= 7.0.0, < 7.0.8 6.0.32, 7.0.8
Mehr anzeigen (20) 20 von 48 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.