CVE-2026-75973

Vulnérabilité d’authentification incorrecte dans Apache Tomcat. Lorsque Jakarta Authentication était configuré avec SimpleAuthConfigProvider comme fournisseur par défaut et que plusieurs applications web utilisaient ce fournisseur, le realm de la première application web à authentifier une requête était utilisé pour toutes les applications web. Ce problème affecte Apache Tomcat : de 11.0.0-M1 à 11.0.25, de 10.1.0-M1 à 10.1.59, de 9.0.0.M4 à 9.0.121. Les versions suivantes étaient en fin de vie au moment de la création du CVE, mais sont connues pour être affectées : de 8.5.0 à 8.5.100. D’autres versions non prises en charge peuvent également être affectées. Il est recommandé aux utilisateurs de passer aux versions 11.0.26, 10.1.60, 9.0.122, qui corrigent le problème.