Zaloguj się
Deutsch English Español Polski
Średnia

Potential HTTP request smuggling in Apache Tomcat

  • Ujawniono: 28.02.2020
  • Aktualizacja: 11.10.2026 12:22

In Apache Tomcat 9.0.0.M1 to 9.0.30, 8.5.0 to 8.5.50 and 7.0.0 to 7.0.99 the HTTP header parsing code used an approach to end-of-line parsing that allowed some invalid HTTP headers to be parsed as valid. This led to a possibility of HTTP Request Smuggling if Tomcat was located behind a reverse proxy that incorrectly handled the invalid Transfer-Encoding header in a particular manner. Such a reverse proxy is considered unlikely.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.tomcat.embed:tomcat-embed-core < 7.0.100, >= 8.0.0, < 8.5.51, >= 9.0.0, < 9.0.31 7.0.100, 8.5.51, 9.0.31
Java / Kotlin (Maven) org.apache.tomcat:tomcat < 7.0.100, >= 8.0.0, < 8.5.51, >= 9.0.0, < 9.0.31 7.0.100, 8.5.51, 9.0.31

Odnośniki

Ocena CVSS 4.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Słabość (CWE)
CWE-444
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.tomcat.embed:tomcat-embed-core, org.apache.tomcat:tomcat
Ujawniono
28.02.2020
Aktualizacja
11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-qxf4-chvg-4r8r - CC BY 4.0

Historia podatności: org.apache.tomcat.embed:tomcat-embed-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (77) w archiwum
Wszystkich wpisów
77
Pierwsza → ostatnia
10.2018 08.2026
Bez poprawki
0
Wykorzystywana w atakach
5

Rozkład istotności

  • Krytyczna 11
  • Wysoka 36
  • Średnia 25
  • Niska 5

Ujawnienia w latach

Istotność:
  1. Potential HTTP request smuggling in Apache Tomcat ten wpis
    Średnia · 4.8 CVE-2020-1935 < 7.0.100, >= 8.0.0, < 8.5.51, >= 9.0.0, < 9.0.31 7.0.100, 8.5.51, 9.0.31
  2. Apache Tomcat's DIGEST authenticator has an Authentication Bypass by Capture-replay vulnerability
    Krytyczna · 9.8 CVE-2026-65905 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0.M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.30, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  3. Apache Tomcat has an Improper Access Control, Incorrect Authorization vulnerability
    Krytyczna · 9.1 CVE-2026-65182 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  4. Apache Tomcat's FORM authentication process has an Incorrect Authorization vulnerability
    Krytyczna · 9.1 CVE-2026-68525 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  5. Apache Tomcat: Unbounded read in WebDAV LOCK and PROPFIND handling
    Wysoka · 7.5 CVE-2026-41284 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  6. Apache Tomcat - Digest authenticator will authenticate any unknown user
    Krytyczna · 9.8 CVE-2026-43512 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  7. Apache Tomcat: LockOutRealm treats user names as case-sensitive
    Wysoka · 7.5 CVE-2026-43513 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  8. Apache Tomcat - Security constraints not correctly applied
    Krytyczna · 9.1 CVE-2026-43515 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  9. Apache Tomcat - WebSocket authentication header exposure
    Wysoka · 7.3 CVE-2026-42498 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  10. Apache Tomcat - HTTP/2 request headers not validated
    Krytyczna · 9.8 CVE-2026-41293 >= 8.5.0, < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  11. Apache Tomcat vulnerable to Insertion of Sensitive Information into Log File
    Wysoka · 7.5 CVE-2026-34487 >= 9.0.13, < 9.0.117, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.117, 10.1.54, 11.0.21
  12. Apache Tomcat has an Improper Encoding or Escaping of Output vulnerability in the JsonAccessLogValve
    Wysoka · 7.5 CVE-2026-34483 >= 9.0.40, < 9.0.116, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.116, 10.1.54, 11.0.21
  13. Apache Tomcat has an HTTP Request/Response Smuggling vulnerability
    Wysoka · 7.5 CVE-2026-24880 >= 7.0.0, < 9.0.116, >= 10.1.0-M1, < 10.1.52, >= 11.0.0-M1, < 11.0.20 9.0.116, 10.1.52, 11.0.20
  14. Apache Tomcat: Configured cipher preference order not preserved
    Wysoka · 7.5 CVE-2026-29129 >= 9.0.114, < 9.0.116, >= 10.1.51, < 10.1.53, >= 11.0.16, < 11.0.20 9.0.116, 10.1.53, 11.0.20
  15. Apache Tomcat has an Improper Input Validation vulnerability
    Wysoka · 7.5 CVE-2026-24734 >= 11.0.0-M1, < 11.0.18, >= 10.1.0-M7, < 10.1.52, >= 9.0.83, < 9.0.115 11.0.18, 10.1.52, 9.0.115
  16. Apache Tomcat Vulnerable to Relative Path Traversal
    Wysoka · 7.5 CVE-2025-55752 >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.0-M11, < 9.0.109, >= 8.5.6, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
  17. Apache Tomcat Improper Resource Shutdown or Release vulnerability
    Wysoka · 7.5 CVE-2025-48989 >= 11.0.0-M1, < 11.0.10, >= 10.1.0-M1, < 10.1.44, >= 9.0.0.M1, < 9.0.108 11.0.10, 10.1.44, 9.0.108
  18. Apache Tomcat Coyote vulnerable to Denial of Service via excessive HTTP/2 streams
    Wysoka · 7.5 CVE-2025-53506 >= 8.5.0, <= 8.5.100, >= 9.0.0.M1, < 9.0.107, >= 10.1.0-M1, < 10.1.43, >= 11.0.0-M1, < 11.0.9 9.0.107, 10.1.43, 11.0.9
  19. Apache Tomcat Catalina is vulnerable to DoS attack through bypassing of size limits
    Wysoka · 7.5 CVE-2025-52520 >= 11.0.0-M1, < 11.0.9, >= 10.1.0-M1, < 10.1.43, >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 11.0.9, 10.1.43, 9.0.107
  20. Apache Tomcat - DoS in multipart upload
    Wysoka · 7.5 CVE-2025-48988 >= 11.0.0-M1, < 11.0.8, >= 10.1.0-M1, < 10.1.42, >= 9.0.0.M1, < 9.0.106, >= 8.5.0, <= 8.5.100 11.0.8, 10.1.42, 9.0.106
  21. Apache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUT
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2025-24813 >= 11.0.0-M1, < 11.0.3, >= 10.1.0-M1, < 10.1.35, >= 9.0.0.M1, < 9.0.99, >= 8.5.0, <= 8.5.100 11.0.3, 10.1.35, 9.0.99
Pokaż więcej (20) Widać 21 z 48

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.