Apache Struts Improper Input Validation Vulnerability. 悪用が確認されています：CISA は 25/03/2022 にこの脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。影響を受けるシステムは緊急に修正してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| org.apache.struts:struts2-core | < 2.3.15.1 | 2.3.15.1 |
| archiva | = 1.2= 1.2.2≥ 1.3, < 1.3.8 | 1.3.8 |
| struts | ≥ 2.0.0, ≤ 2.3.15 | |
| interstage business process manager analytics | = 12.0= 12.1 | |
| siebel apps - e-billing | = 6.1= 6.1.1= 6.2 |
The Struts 2 DefaultActionMapper supports a method for short-circuit navigation state changes by prefixing parameters with "action:" or "redirect:", followed by a desired navigational target expression. This mechanism was intended to help with attaching navigational information to buttons within forms.
In Struts 2 before 2.3.15.1 the information following "action:", "redirect:" or "redirectAction:" is not properly sanitized. Since said information will be evaluated as OGNL expression against the value stack, this introduces the possibility to inject server side code.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン