CVE-2026-34483Apache Tomcat 是广泛使用的 Java Web 服务器。CVE-2026-34483 是其 JsonAccessLogValve 组件中存在的输出编码或转义不当漏洞。由于该组件未能正确处理请求中的特殊字符，未经身份认证的攻击者可利用此漏洞通过网络发送恶意请求，导致生成的 JSON 访问日志被篡改或注入恶意内容，可能破坏日志系统的完整性或被下游日志解析器利用进行攻击。
该漏洞的核心在于 Apache Tomcat 的 JsonAccessLogValve 组件在将 HTTP 请求信息（如 User-Agent、Referer 等头信息或查询参数）序列化为 JSON 格式时，未对包含在其中的特殊字符（如双引号、反斜杠、换行符等）进行严格的转义处理。攻击者无需用户交互即可构造包含特定控制字符的 HTTP 请求发送至服务器。当服务器记录日志时，这些恶意字符会破坏 JSON 结构，导致日志解析错误。这不仅使得日志数据不可信（完整性受损），还可能利用日志解析器（如 ELK Stack）的漏洞进行进一步攻击，例如在查看日志时触发 XSS 或导致日志处理服务崩溃。