CVE-2025-55752 in Tomcat
Sumário
de VulDB • 09/06/2026
Vulnerabilidade de Relative Path Traversal no Apache Tomcat.
A correção para o bug 60013 introduziu uma regressão em que a URL reescrita era normalizada antes de ser decodificada. Isso criou a possibilidade de, para regras de rewrite que reescrevem parâmetros de consulta na URL, um atacante manipular o URI da solicitação para contornar restrições de segurança, incluindo as proteções para /WEB-INF/ e /META-INF/. Se solicitações PUT também estivessem habilitadas, arquivos maliciosos poderiam ser carregados, levando à execução remota de código (RCE). As solicitações PUT são normalmente limitadas a usuários confiáveis e considera-se improvável que elas estejam habilitadas em conjunto com um rewrite que manipule o URI.
Este problema afeta o Apache Tomcat: da versão 11.0.0-M1 até a 11.0.10, da 10.1.0-M1 até a 10.1.44 e da 9.0.0.M11 até a 9.0.108.
As seguintes versões estavam no fim do suporte (EOL) no momento em que o CVE foi criado, mas sabe-se que são afetadas: de 8.5.6 até 8.5.100. Outras versões mais antigas e também fora de suporte podem estar afetadas. Recomenda-se aos usuários atualizar para a versão 11.0.11 ou posterior, 10.1.45 ou posterior ou 9.0.109 ou posterior, que corrigem o problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.