Anmelden
Deutsch English Español Polski
Niedrig

Apache Tomcat Vulnerable to Improper Neutralization of Escape, Meta, or Control Sequences

  • Veröffentlicht: 27.10.2025
  • Aktualisiert: 11.10.2026 13:20

Tomcat did not escape ANSI escape sequences in log messages. If Tomcat was running in a console on a Windows operating system, and the console supported ANSI escape sequences, it was possible for an attacker to use a specially crafted URL to inject ANSI escape sequences to manipulate the console and the clipboard and attempt to trick an administrator into running an attacker controlled command. While no attack vector was found, it may have been possible to mount this attack on other operating systems.

This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.10, from 10.1.0-M1 through 10.1.44, from 9.0.40 through 9.0.108.

The following versions were EOL at the time the CVE was created but are known to be affected: 8.5.60 though 8.5.100. Other, older, EOL versions may also be affected. Users are recommended to upgrade to version 11.0.11 or later, 10.1.45 or later or 9.0.109 or later, which fix the issue.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Java / Kotlin (Maven) org.apache.tomcat.embed:tomcat-embed-core >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.40, < 9.0.109, >= 8.5.60, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
Java / Kotlin (Maven) org.apache.tomcat:tomcat >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.40, < 9.0.109, >= 8.5.60, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
Java / Kotlin (Maven) org.apache.tomcat:tomcat-catalina >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.40, < 9.0.109, >= 8.5.60, <= 8.5.100 11.0.11, 10.1.45, 9.0.109

Verweise

CVSS-Wert 9.6/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Schwäche (CWE)
CWE-150
Plattform
Java / Kotlin (Maven)
Paket
org.apache.tomcat.embed:tomcat-embed-core, org.apache.tomcat:tomcat, org.apache.tomcat:tomcat-catalina
Veröffentlicht
27.10.2025
Aktualisiert
11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-vfww-5hm6-hx2j - CC BY 4.0

Schwachstellenhistorie: org.apache.tomcat:tomcat-catalina

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (41) im Archiv
Einträge insgesamt
41
Erste → letzte
05.2019 08.2026
Ohne Fix
0
In Angriffen ausgenutzt
3

Verteilung nach Schweregrad

  • Kritisch 9
  • Hoch 16
  • Mittel 11
  • Niedrig 5

Veröffentlichungen pro Jahr

Schweregrad:
  1. Apache Tomcat's DIGEST authenticator has an Authentication Bypass by Capture-replay vulnerability
    Kritisch · 9.8 CVE-2026-65905 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0.M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.30, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  2. Apache Tomcat has an Improper Access Control, Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2026-65182 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  3. Apache Tomcat's FORM authentication process has an Incorrect Authorization vulnerability
    Kritisch · 9.1 CVE-2026-68525 >= 11.0.0-M1, < 11.0.25, >= 10.1.0-M1, < 10.1.58, >= 9.0.0-M1, < 9.0.121, >= 8.5.0, <= 8.5.100, >= 7.0.0, <= 7.0.109 11.0.25, 10.1.58, 9.0.121
  4. Apache Tomcat: Unbounded read in WebDAV LOCK and PROPFIND handling
    Hoch · 7.5 CVE-2026-41284 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  5. Apache Tomcat - Digest authenticator will authenticate any unknown user
    Kritisch · 9.8 CVE-2026-43512 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  6. Apache Tomcat: LockOutRealm treats user names as case-sensitive
    Hoch · 7.5 CVE-2026-43513 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  7. Apache Tomcat - Security constraints not correctly applied
    Kritisch · 9.1 CVE-2026-43515 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  8. Apache Tomcat - WebSocket authentication header exposure
    Hoch · 7.3 CVE-2026-42498 < 9.0.118, >= 10.1.0-M1, < 10.1.55, >= 11.0.0-M1, < 11.0.22 9.0.118, 10.1.55, 11.0.22
  9. Apache Tomcat has an Improper Encoding or Escaping of Output vulnerability in the JsonAccessLogValve
    Hoch · 7.5 CVE-2026-34483 >= 9.0.40, < 9.0.116, >= 10.1.0-M1, < 10.1.54, >= 11.0.0-M1, < 11.0.21 9.0.116, 10.1.54, 11.0.21
  10. Apache Tomcat Vulnerable to Improper Neutralization of Escape, Meta, or Control Sequences dieser Eintrag
    Niedrig · 9.6 CVE-2025-55754 >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.40, < 9.0.109, >= 8.5.60, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
  11. Apache Tomcat Vulnerable to Relative Path Traversal
    Hoch · 7.5 CVE-2025-55752 >= 11.0.0-M1, < 11.0.11, >= 10.1.0-M1, < 10.1.45, >= 9.0.0-M11, < 9.0.109, >= 8.5.6, <= 8.5.100 11.0.11, 10.1.45, 9.0.109
  12. Apache Tomcat Catalina is vulnerable to DoS attack through bypassing of size limits
    Hoch · 7.5 CVE-2025-52520 >= 11.0.0-M1, < 11.0.9, >= 10.1.0-M1, < 10.1.43, >= 9.0.0.M1, < 9.0.107, >= 8.5.0, <= 8.5.100 11.0.9, 10.1.43, 9.0.107
  13. Apache Tomcat - DoS in multipart upload
    Hoch · 7.5 CVE-2025-48988 >= 11.0.0-M1, < 11.0.8, >= 10.1.0-M1, < 10.1.42, >= 9.0.0.M1, < 9.0.106, >= 8.5.0, <= 8.5.100 11.0.8, 10.1.42, 9.0.106
  14. Apache Tomcat: Potential RCE and/or information disclosure and/or information corruption with partial PUT
    Kritisch · 9.8 In Angriffen ausgenutzt CVE-2025-24813 >= 11.0.0-M1, < 11.0.3, >= 10.1.0-M1, < 10.1.35, >= 9.0.0.M1, < 9.0.99, >= 8.5.0, <= 8.5.100 11.0.3, 10.1.35, 9.0.99
  15. Apache Tomcat Time-of-check Time-of-use (TOCTOU) Race Condition vulnerability
    Hoch CVE-2024-56337 >= 11.0.0-M1, < 11.0.2, >= 10.1.0-M1, < 10.1.34 11.0.2, 10.1.34
  16. Apache Tomcat Time-of-check Time-of-use (TOCTOU) Race Condition vulnerability
    Hoch · 9.8 CVE-2024-50379 >= 11.0.0-M1, < 11.0.2, >= 10.1.0-M1, < 10.1.34, >= 9.0.0.M1, < 9.0.98, >= 8.5.0, <= 8.5.100 11.0.2, 10.1.34, 9.0.98
  17. Apache Tomcat - Authentication Bypass
    Kritisch · 9.8 CVE-2024-52316 < 9.0.96, >= 10.1.0-M1, < 10.1.30, >= 11.0.0-M1, < 11.0.1 9.0.96, 10.1.30, 11.0.1
  18. Apache Tomcat Improper Input Validation vulnerability
    Hoch · 7.5 CVE-2023-46589 >= 11.0.0-M1, < 11.0.0-M11, >= 10.1.0-M1, < 10.1.16, >= 9.0.0-M1, < 9.0.83, >= 8.5.0, < 8.5.96 11.0.0-M11, 10.1.16, 9.0.83, 8.5.96
  19. Apache Commons FileUpload denial of service vulnerability
    Hoch · 7.5 CVE-2023-24998 >= 10.1.0-M1, < 10.1.5, >= 11.0.0-M2, < 11.0.0-M5, >= 8.5.85, < 8.5.88, >= 9.0.0-M1, < 9.0.71 10.1.5, 11.0.0-M5, 8.5.88, 9.0.71
  20. Apache Tomcat improperly escapes input from JsonErrorReportValve
    Hoch · 7.5 CVE-2022-45143 >= 10.1.0, < 10.1.2 10.1.2
  21. Exposure of Sensitive Information to an Unauthorized Actor in Apache Tomcat
    Hoch · 7.5 CVE-2017-12616 >= 7.0.0, < 7.0.81 7.0.81
  22. Unrestricted Upload of File with Dangerous Type Apache Tomcat
    Hoch · 8.1 In Angriffen ausgenutzt CVE-2017-12617 >= 9.0.0.M1, < 9.0.1, >= 8.5.0, < 8.5.23, >= 8.0.0-RC1, < 8.0.47, >= 7.0.0, < 7.0.82 9.0.1, 8.5.23, 8.0.47, 7.0.82
  23. Exposure of Resource to Wrong Sphere in Apache Tomcat
    Kritisch · 9.1 CVE-2017-5648 >= 9.0.0.M1, < 9.0.0.M18, >= 8.5.0, < 8.5.13, >= 8.0.0, < 8.0.42, >= 7.0.0, < 7.0.76 9.0.0.M18, 8.5.13, 8.0.42, 7.0.76
  24. Improper Access Control in Apache Tomcat
    Hoch · 8.1 CVE-2016-5388 >= 7.0.0, < 7.0.72, >= 8.0.0, < 8.5.5 7.0.72, 8.5.5
  25. Apache Tomcat Improper Access Control vulnerability
    Kritisch · 9.8 In Angriffen ausgenutzt CVE-2016-8735 < 6.0.48, >= 7.0.0, < 7.0.73, >= 8.0.0, < 8.0.39, >= 8.5.0, < 8.5.7, >= 9.0.0.M1, < 9.0.0.M12 6.0.48, 7.0.73, 8.0.39, 8.5.7, 9.0.0.M12
  26. Potential remote code execution in Apache Tomcat
    Hoch · 7.0 CVE-2020-9484 >= 10.0.0-M1, < 10.0.0-M5, >= 9.0.0, < 9.0.35, >= 8.0.0, < 8.5.55, >= 7.0.0, < 7.0.104 10.0.0-M5, 9.0.35, 8.5.55, 7.0.104

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.