CVE-2026-75973

Vulnerabilità di autenticazione impropria in Apache Tomcat. Quando Jakarta Authentication era configurato con SimpleAuthConfigProvider come provider predefinito e più applicazioni web utilizzavano quel provider, il realm della prima applicazione web che autenticava una richiesta veniva utilizzato per tutte le applicazioni web. Questo problema interessa Apache Tomcat: dalla versione 11.0.0-M1 alla 11.0.25, dalla 10.1.0-M1 alla 10.1.59, dalla 9.0.0.M4 alla 9.0.121. Le seguenti versioni erano EOL al momento della creazione del CVE, ma è noto che sono interessate: dalla 8.5.0 alla 8.5.100. Potrebbero essere interessate anche altre versioni non supportate. Si consiglia agli utenti di aggiornare alla versione 11.0.26, 10.1.60, 9.0.122, che risolve il problema.