Zaloguj się
Deutsch English Español Polski
Średnia

Apache Struts's CookieInterceptor component does not use the parameter-name whitelist

  • Ujawniono: 04.05.2022
  • Aktualizacja: 11.10.2026 12:21

The CookieInterceptor component in Apache Struts before 2.3.1.1 does not use the parameter-name whitelist, which allows remote attackers to execute arbitrary commands via a crafted HTTP Cookie header that triggers Java code execution through a static method.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.struts:struts2-core < 2.2.3.1 2.2.3.1
Java / Kotlin (Maven) org.apache.struts.xwork:xwork-core < 2.2.3.1 2.2.3.1

Odnośniki

Ocena CVSS -
Słabość (CWE)
-
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.struts:struts2-core, org.apache.struts.xwork:xwork-core
Ujawniono
04.05.2022
Aktualizacja
11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2ppp-xj34-vvf7 - CC BY 4.0

Historia podatności: org.apache.struts:struts2-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (60) w archiwum
Wszystkich wpisów
60
Pierwsza → ostatnia
10.2018 01.2026
Bez poprawki
0
Wykorzystywana w atakach
6

Rozkład istotności

  • Krytyczna 14
  • Wysoka 25
  • Średnia 20
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Apache Struts 2 is Missing XML Validation
    Wysoka · 8.1 CVE-2025-68493 >= 2.0.0, <= 2.3.37, >= 2.5.0, <= 2.5.33, >= 6.0.0, < 6.1.1 6.1.1
  2. Apache Struts has a Denial of Service vulnerability
    Wysoka · 8.2 CVE-2025-66675 >= 2.0.0, < 6.8.0, >= 7.0.0, < 7.1.1 6.8.0, 7.1.1
  3. Apache Struts is Vulnerable to DoS via File Leak
    Wysoka · 7.5 CVE-2025-64775 >= 6.0.0, < 6.8.0, >= 7.0.0, < 7.1.1, >= 2.0.0, <= 2.3.37, >= 2.5.0, <= 2.5.33 6.8.0, 7.1.1
  4. Apache Struts file upload logic is flawed
    Krytyczna · 9.8 CVE-2024-53677 < 6.4.0 6.4.0
  5. Apache Struts vulnerable to path traversal
    Krytyczna · 9.8 CVE-2023-50164 >= 2.0.0, < 2.5.33, >= 6.0.0, < 6.3.0.2 2.5.33, 6.3.0.2
  6. Apache Struts Improper Control of Dynamically-Managed Code Resources vulnerability
    Wysoka · 7.5 CVE-2023-41835 >= 6.2.0, < 6.3.0.1, >= 6.0.0, < 6.1.2.2, < 2.5.32 6.3.0.1, 6.1.2.2, 2.5.32
  7. Apache Struts vulnerable to memory exhaustion
    Wysoka · 7.5 CVE-2023-34396 < 2.5.31, >= 6.0.0, < 6.1.2.1 2.5.31, 6.1.2.1
  8. Improper Preservation of Permissions in Apache Struts
    Wysoka · 7.5 CVE-2019-0233 >= 2.0.0, < 2.5.22 2.5.22
  9. Remote Code Execution in Apache Struts
    Krytyczna · 9.8 CVE-2016-3082 < 2.3.20.3, >= 2.3.24, < 2.3.24.3, >= 2.3.28, < 2.3.28.1 2.3.20.3, 2.3.24.3, 2.3.28.1
  10. Code injection in Apache Struts
    Wysoka CVE-2013-4316 >= 2.0.0, < 2.3.15.2 2.3.15.2
  11. Apache Struts improper action name cleanup
    Krytyczna · 9.8 CVE-2016-4436 >= 2.0.0, < 2.3.29, >= 2.5-BETA1, < 2.5.1 2.3.29, 2.5.1
  12. Incomplete exclude pattern in Apache Struts
    Wysoka CVE-2015-1831 >= 2.0.0, < 2.3.20.1 2.3.20.1
  13. Special top object can be used to access Struts' internals
    Wysoka · 7.5 CVE-2015-5209 < 2.3.24.1 2.3.24.1
  14. Arbitrary code execution in Apache Struts 2
    Wysoka CVE-2013-2134 >= 2.0.0, < 2.3.14.3 2.3.14.3
  15. Arbitrary code execution in Apache Struts 2
    Wysoka CVE-2013-2135 >= 2.0.0, < 2.3.14.3 2.3.14.3
  16. Apache Struts Code injection due to conversion error
    Wysoka CVE-2012-0838 < 2.2.3.1 2.2.3.1
  17. Apache Struts forced double OGNL evaluation
    Wysoka · 8.8 CVE-2016-4461 >= 2.0.0, < 2.3.29 2.3.29
  18. ClassLoader manipulation in Apache Struts
    Wysoka CVE-2014-0112 < 2.3.20 2.3.20
  19. Arbitrary code execution in Apache Struts
    Wysoka CVE-2013-1966 >= 2.0.0, < 2.3.14.2 2.3.14.2
  20. ClassLoader manipulation in Apache Struts
    Wysoka CVE-2014-0113 < 2.3.20 2.3.20
  21. Improper Control of Generation of Code in Apache Struts
    Wysoka CVE-2013-1965 < 2.3.14.3 2.3.14.3
  22. ClassLoader manipulation in Apache Struts
    Wysoka CVE-2014-0116 < 2.3.20 2.3.20
  23. Apache Struts vulnerable to arbitrary remote code execution due to improper input validation
    Krytyczna · 9.8 CVE-2016-3087 >= 2.3.19, < 2.3.20.3, >= 2.3.21, < 2.3.24.3, >= 2.3.25, < 2.3.28.1 2.3.20.3, 2.3.24.3, 2.3.28.1
  24. Apache Struts RCE Vulnerability
    Wysoka · 8.1 Wykorzystywana w atakach CVE-2016-3081 >= 2.3.19, < 2.3.20.3, >= 2.3.21, < 2.3.24.3, >= 2.3.25, < 2.3.28.1 2.3.20.3, 2.3.24.3, 2.3.28.1
  25. Arbitrary code execution in Apache Struts 2
    Krytyczna · 9.8 CVE-2016-4438 >= 2.3.19, < 2.3.29 2.3.29
  26. Apache Struts RCE Vulnerability
    Wysoka · 8.8 CVE-2016-0785 >= 2.0.0, < 2.3.20.3, >= 2.3.24, < 2.3.24.3 2.3.20.3, 2.3.24.3
  27. Code injection in Apache Struts
    Wysoka · 8.1 CVE-2013-2115 >= 2.0.0, < 2.3.14.2 2.3.14.2
  28. Code injection in Apache Struts
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2013-2251 < 2.3.15.1 2.3.15.1
  29. Apache Struts Remote Java Code Execution
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2012-0391 < 2.2.3.1 2.2.3.1
  30. Apache Struts's CookieInterceptor component does not use the parameter-name whitelist ten wpis
    Średnia CVE-2012-0392 < 2.2.3.1 2.2.3.1
  31. Unrestricted Upload of File with Dangerous Type in Apache Struts2
    Wysoka · 8.8 CVE-2012-1592 >= 2.0, < 2.5.22 2.5.22
  32. Struts ParameterInterceptor vulnerability allows remote command execution
    Krytyczna · 9.8 CVE-2011-3923 >= 2.0.0, < 2.3.1.2 2.3.1.2
  33. Expression Language Injection in Apache Struts
    Krytyczna · 9.8 CVE-2021-31805 >= 2.0.0, < 2.5.30 2.5.30
  34. Remote code execution in Apache Struts
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2020-17530 >= 2.0.0, < 2.5.26 2.5.26
  35. Improperly Controlled Modification of Dynamically-Determined Object Attributes in Apache Struts
    Krytyczna · 9.8 CVE-2019-0230 >= 2.0.0, < 2.5.22 2.5.22
  36. Apache Struts vulnerable to remote command execution (RCE) due to improper input validation
    Wysoka · 8.1 Wykorzystywana w atakach CVE-2018-11776 >= 2.0.4, < 2.3.35, >= 2.5, < 2.5.17 2.3.35, 2.5.17
  37. Apache Struts vulnerable to remote arbitrary command execution due to improper input validation
    Krytyczna · 10.0 Wykorzystywana w atakach CVE-2017-5638 >= 2.3.0, < 2.3.32, >= 2.5.0, < 2.5.10.1 2.3.32, 2.5.10.1
  38. Apache Struts allows entering a custom URL in a form field if built-in URLValidator is used
    Wysoka · 7.5 CVE-2017-9804 >= 2.3.7, < 2.3.34, >= 2.5.0, < 2.5.13 2.3.34, 2.5.13
  39. Spring AOP functionality (Struts) vulnerable to DoS attack
    Wysoka · 7.5 CVE-2017-9787 >= 2.3.7, < 2.3.33, >= 2.5.0, < 2.5.12 2.3.33, 2.5.12
  40. Apache Struts 2.0.1 uses an unintentional expression in a Freemarker tag instead of string literal
    Krytyczna · 9.8 CVE-2017-12611 >= 2.0.1, < 2.3.34, >= 2.5.0, < 2.5.11 2.3.34, 2.5.11

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.