CVE-2026-55955 Apache Tomcat: EncryptInterceptor not protected against replay attacks

Description de l'éditeur (en anglais)

Improper Authentication vulnerability in Apache Tomcat allowed a replay attack against the EncryptionInterceptor in the cluster component. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.22, from 10.1.0-M1 through 10.1.55, from 9.0.13 through 9.0.18, from 8.5.38 through 8.5.100, from 7.0.100 through 7.0.109. Users are recommended to upgrade to version 11.0.23, 10.1.56, 9.0.119, which fixes the issue.

Données de référence

Éditeur

Apache Software Foundation

Produits concernés

• Apache Tomcat

CVSS 3.1

6.5 (MEDIUM)

Vecteur

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Type de faiblesse

CWE-287: Improper Authentication

Publiée

29 juin 2026

Sources officielles

• CVE.org
• NVD
• Avis de l'éditeur

← Toutes les vulnérabilités