جزئیات آسیب‌پذیری
CVE-2026-34486
بهره‌برداری فعال
Apache Software Foundation Apache TomcatRed Hat Enterprise Linux 9
Apache Tomcat: Fix for CVE-2026-29146 allowed bypass of EncryptInterceptor
CVSS 3.1
7.5بالا
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
Missing Encryption of Sensitive Data vulnerability in Apache Tomcat due to the fix for CVE-2026-29146 allowing the bypass of the EncryptInterceptor. This issue affects Apache Tomcat: 11.0.20, 10.1.53, 9.0.116. Users are recommended to upgrade to version 11.0.21, 10.1.54 or 9.0.117, which fix the issue.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 3.1 | CISA ADP / Vulnrichment (CISA-ADP) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (redhat-SADP) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Apache Software Foundation | Apache Tomcat | 10.1.53 | CVEProject cvelistV5 (CNA) |
| Apache Software Foundation | Apache Tomcat | 11.0.20 | CVEProject cvelistV5 (CNA) |
| Apache Software Foundation | Apache Tomcat | 9.0.116 | CVEProject cvelistV5 (CNA) |
| Red Hat | Red Hat Enterprise Linux 9 | همه | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲۱- https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly vendor-advisory
- https://socradar.io/blog/snowlight-government-chinese-campaign/ third-party-advisory
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-34486 government-resource
- https://www.vicarius.io/vsociety/posts/cve-2026-34486-detection-script-rce-on-apache-tomcat
- https://www.vicarius.io/vsociety/posts/cve-2026-34486-mitigation-script-rce-on-apache-tomcat
- https://access.redhat.com/security/cve/CVE-2026-34486 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2457027 issue-trackingx_refsource_REDHAT
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-34486.json x_sadp-csaf-vex
- https://access.redhat.com/errata/RHSA-2026:39188 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:38505 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36787 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36789 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36788 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36790 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:37137 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:37136 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36878 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36876 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36877 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:36879 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:39189 vendor-advisoryx_refsource_REDHAT
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۱/۲۰
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۳۰
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- apache
- اولویت کلون
- به‌زودی
فهرست KEV آژانس CISA
- تاریخ افزوده‌شدن
- ۱۴۰۵/۰۵/۱۳
- مهلت رفع
- ۱۴۰۵/۰۵/۱۶
- استفاده در باج‌افزار
- نامشخص
پیش‌بینی بهره‌برداری (EPSS)
۹۸٫۵٪
احتمال بهره‌برداری در ۳۰ روز
۹۹٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- Automatable
- yes
- Exploitation
- active
- Technical Impact
- partial
ضعف‌ها (CWE)
- CWE-311Missing Encryption of Sensitive Data
- CWE-807Reliance on Untrusted Inputs in a Security Decision