CVE-2026-88041 Contaminación cruzada de encabezados trailer en HTTP/2 de Apache Tomcat

Qué es CVE-2026-88041

Vulnerabilidad de limpieza incompleta en Apache Tomcat que permitía que información de trailer de una petición anterior se filtrara a una petición posterior. Afecta a Apache Tomcat desde 11.0.0-M23 hasta 11.0.26, desde 10.1.27 hasta 10.1.60 y desde 9.0.92 hasta 9.0.122. Se recomienda actualizar a 11.0.27, 10.1.61 o 9.0.123.

Productos y versiones afectadas

• Apache Software Foundation Apache Tomcat

  • desde 11.0.0-M23 hasta 11.0.26
  • desde 10.1.27 hasta 10.1.60
  • desde 9.0.92 hasta 9.0.122

Qué hacer

1. Verificá si usás Apache Tomcat y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

Incomplete cleanup vulnerability in Apache Tomcat allowed an trailer information from a previous request to leak into a subsequent request. This issue affects Apache Tomcat: from 11.0.0-M23 through 11.0.26, from 10.1.27 through 10.1.60, from 9.0.92 through 9.0.122. Users are recommended to upgrade to version 11.0.27, 10.1.61 or 9.0.123, which fix the issue.

Referencias

• lists.apache.org/thread.html/dnmm9l3byytg3l66nk1jrqfrl7jty7n1VENDOR-ADVISORY
• www.openwall.com/lists/oss-security/2026/10/20/24

Historial de la alerta

1. 20 OCT · 12:00VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.