Vulnerabilidad en Apache Tomcat (CVE-2025-49125)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
16/06/2025
Última modificación:
02/07/2025
Descripción
Vulnerabilidad de omisión de autenticación mediante una ruta o canal alternativo en Apache Tomcat. Al usar recursos previos o posteriores montados en una ubicación distinta a la raíz de la aplicación web, era posible acceder a ellos mediante una ruta inesperada. Es probable que dicha ruta no estuviera protegida por las mismas restricciones de seguridad que la ruta esperada, lo que permitió eludirlas. Este problema afecta a Apache Tomcat: de la 11.0.0-M1 a la 11.0.7, de la 10.1.0-M1 a la 10.1.41 y de la 9.0.0.M1 a la 9.0.105. Se recomienda actualizar a las versiones 11.0.8, 10.1.42 o 9.0.106, que solucionan el problema.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 9.0.0 (incluyendo) | 9.0.106 (excluyendo) |
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 10.1.0 (incluyendo) | 10.1.42 (excluyendo) |
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 11.0.0 (incluyendo) | 11.0.8 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página