CVE-2025-55752 in Tomcat
Résumé
par VulDB • 09/06/2026
Vulnérabilité de traversée de chemin relatif dans Apache Tomcat.
La correction du bogue 60013 a introduit une régression où l'URL réécrite était normalisée avant d'être décodée. Cela a créé la possibilité, pour les règles de réécriture qui modifient les paramètres de requête en URL, qu'un attaquant manipule l'URI de la demande afin de contourner les contraintes de sécurité, y compris la protection des répertoires /WEB-INF/ et /META-INF/. Si les requêtes PUT étaient également activées, cela pourrait permettre le téléchargement de fichiers malveillants, conduisant à une exécution de code à distance (RCE). Les requêtes PUT sont normalement limitées aux utilisateurs de confiance et il est considéré peu probable que des requêtes PUT soient activées conjointement avec une réécriture manipulant l'URI.
Cette vulnérabilité affecte Apache Tomcat : les versions 11.0.0-M1 à 11.0.10, 10.1.0-M1 à 10.1.44 et 9.0.0.M11 à 9.0.108.
Les versions suivantes étaient en fin de vie (EOL) au moment de la création du CVE mais sont connues pour être affectées : 8.5.6 à 8.5.100. D'autres versions plus anciennes, également en fin de vie, peuvent également être concernées. Il est recommandé aux utilisateurs de mettre à niveau vers les versions 11.0.11 ou ultérieures, 10.1.45 ou ultérieures ou 9.0.109 ou ultérieures, qui corrigent ce problème.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.