CVE-2026-73180: Apache Tomcat: sessão WebSocket autenticada permanece após o fim da sessão HTTP

Tradução automática do conteúdo disponibilizado no feed de oss-sec. Original: https://seclists.org/oss-sec/2026/q3/588

Publicado por Mark Thomas em 25 de agosto
Severidade: baixa
Versões afetadas:
- Apache Tomcat 11.0.0-M1 até 11.0.24
- Apache Tomcat 10.1.0-M1 até 10.1.57
- Apache Tomcat 9.0.0.M1 até 9.0.120
- Apache Tomcat 8.5.0 até 8.5.100
- Apache Tomcat 7.0.43 até 7.0.109
- Apache Tomcat anteriores a 7.0.43 não afetados
Descrição:
Uma vulnerabilidade de expiração insuficiente de sessão no Apache Tomcat significava que, se o identificador da sessão HTTP autenticada fosse alterado após uma sessão WebSocket...