CVE-2026-25854 — 간헐적 오픈 리다이렉트

발견자: gregk4sec (https://github.com/gregk4sec/cve)
발견 날짜: 2026-01-30
영향을 받는 공급업체: Apache
영향을 받는 제품: Tomcat 11.0.x / 10.1.x / 9.x
심각도: 6.1 Medium
CWE: CWE-601 신뢰할 수 없는 사이트로의 URL 리다이렉션('오픈 리다이렉트') 상태: 검토 중 / 수정됨 / 비공개 / 공개 ✅

---

요약

LoadBalancerDrainingValve가 있는 클러스터의 Tomcat 노드가 비활성(드레이닝) 상태일 때, 특수하게 조작된 URL을 사용하여 공격자가 선택한 URI로의 리다이렉트를 트리거할 수 있었습니다.

---

기술 분석

참조: analysis.md