PT-2026-20316
CVE-2026-24733
·
تاريخ النشر
2025-12-08
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Tomcat من 11.0.0-M1 حتى 11.0.14
إصدارات Apache Tomcat من 10.1.0-M1 حتى 10.1.49
إصدارات Apache Tomcat من 9.0.0-M1 حتى 9.0.112
كما تتأثر الإصدارات الأقدم التي انتهت مدة دعمها (EOL)
الوصف
لا يقصر Apache Tomcat طلبات HTTP/0.9 على طريقة GET بشكل صحيح. وهذا يسمح للمهاجم بالتحايل على قيود الأمان. وعلى وجه التحديد، إذا تم تكوين قيد أمني للسماح بطلبات HEAD لمُعرّف الموارد الموحد (URI)، مع رفض طلبات GET لنفس URI، فيمكن للمستخدم التحايل على هذا القيد في طلبات GET عن طريق إرسال طلب HEAD غير صالح وفقًا للمواصفات باستخدام HTTP/0.9. ويتم تحقيق ذلك عن طريق إرسال طلب مُعدَّل على غرار HTTP/0.9 يتحايل على التطبيق المقصود للقيود الأمنية. تحدث المشكلة عندما تسمح إحدى قيود الأمان في Tomcat بطلبات HEAD بينما ترفض طلبات GET لنفس URI.
التوصيات
قم بالتحديث إلى الإصدار 11.0.15 أو أحدث من Apache Tomcat.
قم بالتحديث إلى الإصدار 10.1.50 أو أحدث من Apache Tomcat.
قم بالتحديث إلى الإصدار 9.0.113 أو أحدث من Apache Tomcat.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾