Descripción
Apache Tomcat contiene una vulnerabilidad de equivalencia de rutas que permite a un atacante remoto ejecutar código, divulgar información o inyectar contenido malicioso mediante una solicitud PUT parcial. Esta vulnerabilidad puede encadenarse con CVE‑2026‑34486.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Esta vulnerabilidad afecta a un componente de código abierto común, una biblioteca de terceros o un protocolo utilizado por distintos productos. Consulte con cada fabricante para obtener información sobre el estado de los parches. Para más información, consulte lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-24813
Ver el texto original en inglés (CISA)
Apache Tomcat Path Equivalence Vulnerability
Apache Tomcat contains a path equivalence vulnerability that allows a remote attacker to execute code, disclose information, or inject malicious content via a partial PUT request. This vulnerability can be chained with CVE‑2026‑34486.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: This vulnerability affects a common open-source component, third-party library, or a protocol used by different products. Please check with specific vendors for information on patching status. For more information, please see: https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq ; https://nvd.nist.gov/vuln/detail/CVE-2025-24813
Otras vulnerabilidades de Apache en el catálogo
- CVE-2016-3081 Vulnerabilidad de inyección de comandos en Apache Struts Alta 08-10-2026
- CVE-2026-34486 Vulnerabilidad de falta de cifrado de datos sensibles en Apache Tomcat Alta 04-08-2026
- CVE-2026-34197 Vulnerabilidad de validación incorrecta de la entrada en Apache ActiveMQ Alta 16-04-2026
- CVE-2024-38475 Vulnerabilidad de escape incorrecto de la salida en Apache HTTP Server Alta 01-05-2025
- CVE-2024-45195 Apache OFBiz Forced Browsing Vulnerability Alta 04-02-2025