Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Apache Tomcat (CVE-2025-46701)

Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
29/05/2025
Última modificación:
25/06/2025

Descripción

La vulnerabilidad de manejo incorrecto de la distinción entre mayúsculas y minúsculas en el servlet GCI de Apache Tomcat permite eludir las restricciones de seguridad aplicables al componente pathInfo de una URI asignada al servlet CGI. Este problema afecta a Apache Tomcat: de la 11.0.0-M1 a la 11.0.6, de la 10.1.0-M1 a la 10.1.40 y de la 9.0.0.M1 a la 9.0.104. Se recomienda a los usuarios actualizar a las versiones 11.0.7, 10.1.41 o 9.0.105, que solucionan el problema.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 9.0.0 (incluyendo) 9.0.105 (excluyendo)
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 10.1.0 (incluyendo) 10.1.41 (excluyendo)
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 11.0.0 (incluyendo) 11.0.7 (excluyendo)