RHSA-2026:2726 — Red Hat Security Advisory: pki-deps:10.6 security update

Fixed packages 129

Release	Package	Fixed in
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	apache-commons-collections	0:3.2.2-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	apache-commons-lang	0:2.6-21.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	apache-commons-net	0:3.6-3.module+el8.3.0+6805+72837426
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	bea-stax	0:1.2.0-16.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	bea-stax-api	0:1.2.0-16.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	fasterxml-oss-parent	0:69-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	glassfish-fastinfoset	0:1.2.13-9.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	glassfish-jaxb	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	glassfish-jaxb-api	0:2.2.12-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	glassfish-jaxb-core	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	glassfish-jaxb-runtime	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	glassfish-jaxb-txw2	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-annotations	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-bom	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-core	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-databind	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-jaxrs-json-provider	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-jaxrs-providers	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-module-jaxb-annotations	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-modules-base	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jackson-parent	0:2.19.2-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	jakarta-commons-httpclient	1:3.1-28.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	javassist	0:3.18.1-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	javassist-javadoc	0:3.18.1-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	pki-servlet-4.0-api	1:9.0.30-3.module+el8.6.0+23938+b3b8726f.3
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	pki-servlet-engine	1:9.0.30-3.module+el8.6.0+23938+b3b8726f.3
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	python-nss	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	python-nss-debugsource	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	python-nss-doc	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	python3-nss	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	python3-nss-debuginfo	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	relaxngDatatype	0:2011.1-7.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	resteasy	0:3.0.26-6.module+el8.6.0+23400+aafc0b27
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	slf4j	0:1.7.25-4.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	slf4j-jdk14	0:1.7.25-4.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	stax-ex	0:1.7.7-8.module+el8.2.0+5723+4574fbff
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	velocity	0:1.7-24.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	xalan-j2	0:2.7.1-38.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	xerces-j2	0:2.11.0-34.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	xml-commons-apis	0:1.4.01-25.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	xml-commons-resolver	0:1.2-26.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	xmlstreambuffer	0:1.5.4-8.module+el8.2.0+5723+4574fbff
Red Hat · RHEL 8.6 AUS rhel_aus:8.6::appstream	xsom	0:0-19.20110809svn.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	apache-commons-collections	0:3.2.2-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	apache-commons-lang	0:2.6-21.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	apache-commons-net	0:3.6-3.module+el8.3.0+6805+72837426
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	bea-stax	0:1.2.0-16.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	bea-stax-api	0:1.2.0-16.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	fasterxml-oss-parent	0:69-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	glassfish-fastinfoset	0:1.2.13-9.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	glassfish-jaxb	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	glassfish-jaxb-api	0:2.2.12-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	glassfish-jaxb-core	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	glassfish-jaxb-runtime	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	glassfish-jaxb-txw2	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-annotations	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-bom	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-core	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-databind	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-jaxrs-json-provider	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-jaxrs-providers	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-module-jaxb-annotations	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-modules-base	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jackson-parent	0:2.19.2-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	jakarta-commons-httpclient	1:3.1-28.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	javassist	0:3.18.1-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	javassist-javadoc	0:3.18.1-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	pki-servlet-4.0-api	1:9.0.30-3.module+el8.6.0+23938+b3b8726f.3
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	pki-servlet-engine	1:9.0.30-3.module+el8.6.0+23938+b3b8726f.3
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	python-nss	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	python-nss-debugsource	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	python-nss-doc	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	python3-nss	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	python3-nss-debuginfo	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	relaxngDatatype	0:2011.1-7.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	resteasy	0:3.0.26-6.module+el8.6.0+23400+aafc0b27
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	slf4j	0:1.7.25-4.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	slf4j-jdk14	0:1.7.25-4.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	stax-ex	0:1.7.7-8.module+el8.2.0+5723+4574fbff
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	velocity	0:1.7-24.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	xalan-j2	0:2.7.1-38.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	xerces-j2	0:2.11.0-34.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	xml-commons-apis	0:1.4.01-25.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	xml-commons-resolver	0:1.2-26.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	xmlstreambuffer	0:1.5.4-8.module+el8.2.0+5723+4574fbff
Red Hat · RHEL 8.6 E4S rhel_e4s:8.6::appstream	xsom	0:0-19.20110809svn.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	apache-commons-collections	0:3.2.2-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	apache-commons-lang	0:2.6-21.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	apache-commons-net	0:3.6-3.module+el8.3.0+6805+72837426
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	bea-stax	0:1.2.0-16.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	bea-stax-api	0:1.2.0-16.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	fasterxml-oss-parent	0:69-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	glassfish-fastinfoset	0:1.2.13-9.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	glassfish-jaxb	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	glassfish-jaxb-api	0:2.2.12-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	glassfish-jaxb-core	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	glassfish-jaxb-runtime	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	glassfish-jaxb-txw2	0:2.2.11-11.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-annotations	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-bom	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-core	0:2.19.1-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-databind	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-jaxrs-json-provider	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-jaxrs-providers	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-module-jaxb-annotations	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-modules-base	0:2.19.1-1.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jackson-parent	0:2.19.2-2.module+el8.6.0+23397+419fb810
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	jakarta-commons-httpclient	1:3.1-28.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	javassist	0:3.18.1-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	javassist-javadoc	0:3.18.1-8.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	pki-servlet-4.0-api	1:9.0.30-3.module+el8.6.0+23938+b3b8726f.3
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	pki-servlet-engine	1:9.0.30-3.module+el8.6.0+23938+b3b8726f.3
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	python-nss	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	python-nss-debugsource	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	python-nss-doc	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	python3-nss	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	python3-nss-debuginfo	0:1.0.1-10.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	relaxngDatatype	0:2011.1-7.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	resteasy	0:3.0.26-6.module+el8.6.0+23400+aafc0b27
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	slf4j	0:1.7.25-4.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	slf4j-jdk14	0:1.7.25-4.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	stax-ex	0:1.7.7-8.module+el8.2.0+5723+4574fbff
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	velocity	0:1.7-24.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	xalan-j2	0:2.7.1-38.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	xerces-j2	0:2.11.0-34.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	xml-commons-apis	0:1.4.01-25.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	xml-commons-resolver	0:1.2-26.module+el8.1.0+3366+6dfb954c
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	xmlstreambuffer	0:1.5.4-8.module+el8.2.0+5723+4574fbff
Red Hat · RHEL 8.6 TUS rhel_tus:8.6::appstream	xsom	0:0-19.20110809svn.module+el8.1.0+3366+6dfb954c

Vulnerabilities 2

Critical 9.8

CVE-2025-31651 Public exploit

Apache Tomcat: Bypass of rules in Rewrite Valve

Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in Apache Tomcat. For a subset of unlikely rewrite rule configurations, it was possible for a specially crafted request to bypass some rewrite rules. If those rewrite rules effectivel…

Apache Software Foundation Apache Tomcat thingsboard-tb-node thingsboard-tb-mqtt-transport Debian Ubuntu Wolfi Maven

Apr 28, 2025
High 7.5

CVE-2025-55752 Public exploit EPSS 64%

Apache Tomcat: Directory traversal via rewrite with possible RCE if PUT is enabled

Relative Path Traversal vulnerability in Apache Tomcat. The fix for bug 60013 introduced a regression where the rewritten URL was normalized before it was decoded. This introduced the possibility that, for rewrite rules that rewrite query parameters to the UR…

Apache Software Foundation Apache Tomcat org.apache.tomcat:tomcat tomcat8 Debian Ubuntu Maven

Oct 27, 2025

References

article
https://access.redhat.com/security/updates/classification/#important
report
https://bugzilla.redhat.com/show_bug.cgi?id=2362782
report
https://bugzilla.redhat.com/show_bug.cgi?id=2406591
advisory
https://security.access.redhat.com/data/csaf/v2/advisories/2026/rhsa-2026_2726.json
report
https://access.redhat.com/security/cve/CVE-2025-31651
advisory
https://www.cve.org/CVERecord?id=CVE-2025-31651
advisory
https://nvd.nist.gov/vuln/detail/CVE-2025-31651
article
https://lists.apache.org/list.html?announce@tomcat.apache.org
report
https://access.redhat.com/security/cve/CVE-2025-55752
advisory
https://www.cve.org/CVERecord?id=CVE-2025-55752
advisory
https://nvd.nist.gov/vuln/detail/CVE-2025-55752
article
https://github.com/apache/tomcat/commit/fec06c610ed7466b401e29cc567a58aee5ed826a
article
https://lists.apache.org/thread/n05kjcwyj1s45ovs8ll1qrrojhfb1tog

Red Hat Security Advisory: pki-deps:10.6 security update

Fixed packages 129

Vulnerabilities 2

Apache Tomcat: Bypass of rules in Rewrite Valve

Apache Tomcat: Directory traversal via rewrite with possible RCE if PUT is enabled

References