CVE-2026-41293

Podatność wynika z braku właściwej weryfikacji danych wejściowych dostarczanych przez użytkownika do serwera Apache Tomcat. Atakujący może wysłać odpowiednio spreparowane żądanie sieciowe bez konieczności uwierzytelnienia ani interakcji ze strony użytkownika. Wektor ataku jest sieciowy, a złożoność ataku niska, co czyni podatność wyjątkowo łatwą do wykorzystania.

Udane wykorzystanie podatności może skutkować pełną utratą poufności, integralności i dostępności systemu — atakujący może uzyskać nieautoryzowany dostęp do danych, zmodyfikować zawartość serwera lub spowodować jego niedostępność.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (docelowa wersja naprawcza nie została jednoznacznie wskazana w opisie — zaleca się weryfikację listy dyskusyjnej Apache oraz oficjalnych referencji producenta). W międzyczasie warto rozważyć ograniczenie dostępu sieciowego do serwera Tomcat za pomocą firewall.

Apache Tomcat w wersjach: od 11.0.0-M1 do 11.0.21, od 10.1.0-M1 do 10.1.54, od 9.0.0.M1 do 9.0.117, od 10.0.0-M1 do 10.0.27. Starsze, niewspierane wersje mogą być również podatne.

Podatność opublikowana 2026-05-12. W opisie oryginalnym wersja naprawcza oznaczona jako [FIXED_VERSION] — producent nie podał jej wprost w opisie CVE; należy zweryfikować aktualne informacje pod adresem wskazanym w referencjach.