CVE-2026-74049
Publiée le 2026-10-20 · Dernière modification le 2026-10-29
Les versions 11.0.0-M1 à 11.0.26, 10.1.0-M1 à 10.1.60 et 9.0.0.M1 à 9.0.122 d'Apache Tomcat sont concernées, ainsi que plusieurs versions plus anciennes qui ne sont plus supportées. Tomcat est un conteneur de servlets Java largement utilisé qui propulse de nombreuses applications web. Cette faille est une vulnérabilité d'exécution après redirection (EAR - Execution After Redirect), qui se produit lorsqu'un serveur envoie une réponse de redirection mais continue de traiter le reste du corps de la requête.
Un attaquant peut utiliser cela pour contourner certains filtres de sécurité ou manipuler la logique de l'application, compromettant potentiellement la confidentialité et l'intégrité de certaines données. L'attaque est menée via le réseau et ne nécessite pas d'authentification. Elle nécessite toutefois qu'un utilisateur interagisse avec un lien ou une page malveillante pour déclencher la requête.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Execution After Redirect (EAR) vulnerability in Apache Tomcat. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.26, from 10.1.0-M1 through 10.1.60, from 9.0.0.M1 through 9.0.122. The following versions were EOL at the time the CVE was created but are known to be affected: from 8.5.0 through 8.5.100, from 7.0.0 through 7.0.109. Other unsupported versions may also be affected. Users are recommended to upgrade to version 11.0.27, 10.1.61, 9.0.123, which fixes the issue.