遠端主機上安裝的 Tomcat 版本低於 10.1.59。因此，它會受到 fixed_in_apache_tomcat_10.1.59_security-10 公告中提及的多個弱點的影響。

  - Apache Tomcat 的 WebSocket 聊天範例中的不受控制的資源消耗弱點。此問題影響以下版本的 Apache Tomcat：11.0.0-M20 至 11.0.24、10.1.24 至 10.1.57、9.0.89 至 9.0.120。遵循安全性指引移除範例 Web 應用程式的使用者不會受到此問題的影響。建議使用者移除範例 Web 應用程式，或升級至 11.0.25、10.1.58 或 9.0.121 版（發行時），以修正問題。(CVE-2026-66299)

  - Apache Tomcat 中的工作階段到期不足弱點表示，如果在已驗證的 HTTP 工作階段下建立 WebSocket 連線後，變更了已驗證 HTTP 工作階段的工作階段 ID，則當 HTTP 工作階段結束時，WebSokcet 工作階段將不會按照 Jakarta WebSocket 規格的要求關閉。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.24 (含)、10.1.0-M1 至 10.1.57 (含)、9.0.0.M1 至 9.0.120 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100 和 7.0.43 至 7.0.109。其他不支援的版本也可能受到影響。建議使用者升級至 11.0.25、10.1.58 或 9.0.121 版，即可修正此問題。(CVE-2026-73180)

  - Apache Tomcat 中存在不受控制的資源消耗弱點，透過重設資料流時 HTTP/2 待辦專案追蹤中的分配洩漏 此問題影響 Apache Tomcat：從 11.0.0-M1 到 11.0.24、 從 10.1.0-M1 到 10.1.57、 9.0.39 到 9.0.120。下列版本在建立 CVE 時處於 EOL 狀態，但已知會受到影響： 從 8.5.59 到 8.5.100。其他不支援的版本也可能受到影響。建議使用者升級至 11.0.25、10.1.58 或 9.0.121 版，即可修正此問題。(CVE-2026-68763)

  - Apache Tomcat 中的不當驗證弱點表示在某些情況下 （例如 CLIENT-CERT、SPNEGO），即使 DataSourceRealm 中不存在使用者，也會通過驗證。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.24 (含)、10.1.0-M1 至 10.1.57 (含)、9.0.0.M1 至 9.0.120 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：8.5.0 至 8.5.100 和 7.0.0 至 7.0.109。其他不支援的版本也可能受到影響。建議使用者升級至 11.0.25、10.1.58 或 9.0.121 版，即可修正此問題。
    (CVE-2026-68569)

  - Apache Tomcat 的 FORM 驗證程序中的 Incorrect Authorization 弱點允許繞過限制使用者存取資源 POST 但不能存取 GET 的安全限制。此問題會影響以下版本的 Apache Tomcat：11.0.0-M1 至 11.0.24 (含)、10.1.0-M1 至 10.1.57 (含)、9.0.0.M1 至 9.0.120 (含)。下列版本在建立 CVE 時已停產，但已知會受到影響：
    8.5.0 至 8.5.100 版，7.0.0 至 7.0.109 版。其他不支援的版本也可能受到影響。
    建議使用者升級至 11.0.25、10.1.58 或 9.0.121 版，即可修正此問題。
    (CVE-2026-68525)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Apache Tomcat 10.1.0.M1 < 10.1.59 多個弱點

medium Nessus Plugin ID 339371

版本 1.1