FICHE CVE

CVE-2026-55276

Publiée le 2026-06-29 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les serveurs Apache Tomcat, sur plusieurs versions majeures, sont affectés par une faille dans la gestion des contraintes d'autorisation. Un attaquant distant non authentifié peut exploiter cette vulnérabilité pour contourner les restrictions de sécurité et obtenir un accès de haut niveau à des données confidentielles ou modifier les paramètres du système. Cette attaque est facile à exécuter, ne nécessitant qu'un accès réseau, sans interaction de l'utilisateur ni identifiants préalables.

CVSS 3.19.1 CRITIQUE

Type de faiblesse

CWE-670

Publiée2026-06-29

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Always-Incorrect Control Flow Implementation vulnerability in Apache Tomcat meant that special roles and empty authorisation constraints were not included when the effective web.xml was logged. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.22, from 10.1.0-M1 through 10.1.55, from 9.0.0.M1 through 9.0.118, from 8.5.0 through 8.5.100. Other versions that have reached end of support may also be affected. Users are recommended to upgrade to version 11.0.23, 10.1.56 or 9.0.119 which fixes the issue.