Zaloguj się
Deutsch English Español Polski
Krytyczna

Expected Behavior Violation in Apache Tomcat

  • Ujawniono: 13.05.2022
  • Aktualizacja: 11.10.2026 12:21

In Apache Tomcat 9.0.0.M1 to 9.0.0.M18 and 8.5.0 to 8.5.12, the refactoring of the HTTP connectors introduced a regression in the send file processing. If the send file processing completed quickly, it was possible for the Processor to be added to the processor cache twice. This could result in the same Processor being used for multiple requests which in turn could lead to unexpected errors and/or response mix-up.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.tomcat.embed:tomcat-embed-core >= 9.0.0.M1, < 9.0.0.M19, >= 8.5.0, < 8.5.13 9.0.0.M19, 8.5.13
Java / Kotlin (Maven) org.apache.tomcat:tomcat-coyote >= 9.0.0.M1, < 9.0.0.M19, >= 8.5.0, < 8.5.13 9.0.0.M19, 8.5.13

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-440
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.tomcat.embed:tomcat-embed-core, org.apache.tomcat:tomcat-coyote
Ujawniono
13.05.2022
Aktualizacja
11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-9hg2-395j-83rm - CC BY 4.0

Historia podatności: org.apache.tomcat:tomcat-coyote

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (33) w archiwum
Wszystkich wpisów
33
Pierwsza → ostatnia
06.2020 05.2026
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 2
  • Wysoka 17
  • Średnia 13
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Apache Tomcat - HTTP/2 request headers not validated
    Krytyczna · 9.8 CVE-2026-41293 >= 8.5.0, < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  2. Apache Tomcat has an HTTP Request/Response Smuggling vulnerability
    Wysoka · 7.5 CVE-2026-24880 >= 7.0.0, < 9.0.116, >= 10.1.0-M1, < 10.1.52, >= 11.0.0-M1, < 11.0.20 9.0.116, 10.1.52, 11.0.20
  3. Apache Tomcat: Configured cipher preference order not preserved
    Wysoka · 7.5 CVE-2026-29129 >= 9.0.114, < 9.0.116, >= 10.1.51, < 10.1.53, >= 11.0.16, < 11.0.20 9.0.116, 10.1.53, 11.0.20
  4. Apache Tomcat has an Improper Input Validation vulnerability
    Wysoka · 7.5 CVE-2026-24734 >= 11.0.0-M1, < 11.0.18, >= 10.1.0-M7, < 10.1.52, >= 9.0.83, < 9.0.115 11.0.18, 10.1.52, 9.0.115
  5. Apache Tomcat Improper Resource Shutdown or Release vulnerability
    Wysoka · 7.5 CVE-2025-48989 >= 11.0.0-M1, < 11.0.10, >= 10.1.0-M1, < 10.1.44, >= 9.0.0.M1, < 9.0.108 11.0.10, 10.1.44, 9.0.108
  6. Apache Tomcat Coyote vulnerable to Denial of Service via excessive HTTP/2 streams
    Wysoka · 7.5 CVE-2025-53506 >= 11.0.0-M1, < 11.0.9, >= 10.1.0-M1, < 10.1.43, >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 11.0.9, 10.1.43, 9.0.107
  7. Apache Tomcat Allocation of Resources Without Limits or Throttling vulnerability
    Wysoka · 8.6 CVE-2024-38286 >= 11.0.0-M1, < 11.0.0-M21, >= 10.1.0-M1, < 10.1.25, >= 9.0.13, < 9.0.90, >= 8.5.35, <= 8.5.100, >= 7.0.92, <= 7.0.109 11.0.0-M21, 10.1.25, 9.0.90
  8. Apache Tomcat - Denial of Service
    Wysoka · 7.5 CVE-2024-34750 >= 11.0.0-M1, < 11.0.0-M21, >= 10.1.0-M1, < 10.1.25, >= 9.0.0-M1, < 9.0.90, >= 8.5.0, <= 8.5.100 11.0.0-M21, 10.1.25, 9.0.90
  9. Apache Tomcat Improper Input Validation vulnerability
    Wysoka · 7.5 CVE-2023-46589 >= 11.0.0-M1, < 11.0.0-M11 11.0.0-M11
  10. Apache Tomcat - Fix for CVE-2023-24998 was incomplete
    Wysoka · 7.5 CVE-2023-28709 >= 8.5.85, < 8.5.88 8.5.88
  11. Apache Tomcat vulnerable to information leak
    Wysoka · 7.5 CVE-2023-34981 >= 8.5.88, < 8.5.89 8.5.89
  12. Apache Commons FileUpload denial of service vulnerability
    Wysoka · 7.5 CVE-2023-24998 >= 10.1.0-M1, < 10.1.5, >= 11.0.0-M2, < 11.0.0-M5, >= 8.5.85, < 8.5.88, >= 9.0.0-M1, < 9.0.71 10.1.5, 11.0.0-M5, 8.5.88, 9.0.71
  13. Apache Tomcat may reject request containing invalid Content-Length header
    Wysoka · 7.5 CVE-2022-42252 >= 9.0.0-M1, < 9.0.68, >= 10.0.0-M1, < 10.0.27, >= 10.1.0-M1, < 10.1.1 9.0.68, 10.0.27, 10.1.1
  14. Expected Behavior Violation in Apache Tomcat ten wpis
    Krytyczna · 9.8 CVE-2017-5651 >= 9.0.0.M1, < 9.0.0.M19, >= 8.5.0, < 8.5.13 9.0.0.M19, 8.5.13
  15. Improper Input Validation in Apache Tomcat
    Wysoka · 7.1 CVE-2016-6816 >= 9.0.0.M1, < 9.0.0.M12, >= 8.5.0, < 8.5.8, >= 8.0.0RC1, < 8.0.39, >= 7.0.0, < 7.0.73, >= 6.0.0, < 6.0.48 9.0.0.M12, 8.5.8, 8.0.39, 7.0.73, 6.0.48
  16. Exposure of Sensitive Information to an Unauthorized Actor in Apache Tomcat
    Wysoka · 7.5 CVE-2020-17527 >= 10.0.0-M1, < 10.0.0-M10, >= 9.0.0-M1, < 9.0.40, >= 8.5.0, < 8.5.60 10.0.0-M10, 9.0.40, 8.5.60
  17. Improper Restriction of Operations within the Bounds of a Memory Buffer in Apache Tomcat
    Wysoka · 7.5 CVE-2020-13934 >= 10.0.0-M1, < 10.0.0-M6, >= 9.0.0.M5, < 9.0.36, >= 8.5.1, < 8.5.56 10.0.0-M6, 9.0.36, 8.5.56
  18. Exposure of Sensitive Information to an Unauthorized Actor in Apache Tomcat
    Wysoka · 7.5 CVE-2021-25122 >= 10.0.0-M1, < 10.0.2 10.0.2
  19. Apache Tomcat Denial of Service vulnerability
    Wysoka · 7.5 CVE-2019-0199 >= 9.0.0, < 9.0.16, >= 8.0.0, < 8.5.38 9.0.16, 8.5.38

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.