Zaloguj się
Deutsch English Español Polski
Krytyczna

Apache Struts file upload logic is flawed

  • Ujawniono: 11.12.2024
  • Aktualizacja: 11.10.2026 12:21

File upload logic is flawed vulnerability in Apache Struts. An attacker can manipulate file upload params to enable paths traversal and under some circumstances this can lead to uploading a malicious file which can be used to perform Remote Code Execution.

This issue affects Apache Struts: from 2.0.0 before 6.4.0.

Users are recommended to upgrade to version 6.4.0 at least and migrate to the new file upload mechanism https://struts.apache.org/core-developers/file-upload. If you are not using an old file upload logic based on FileuploadInterceptor your application is safe.

You can find more details in  https://cwiki.apache.org/confluence/display/WW/S2-067 .

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.struts:struts2-core < 6.4.0 6.4.0

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-22, CWE-434, CWE-915
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.struts:struts2-core
Ujawniono
11.12.2024
Aktualizacja
11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-43mq-6xmg-29vm - CC BY 4.0

Historia podatności: org.apache.struts:struts2-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (60) w archiwum
Wszystkich wpisów
60
Pierwsza → ostatnia
10.2018 01.2026
Bez poprawki
0
Wykorzystywana w atakach
6

Rozkład istotności

  • Krytyczna 14
  • Wysoka 25
  • Średnia 20
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Apache Struts 2 is Missing XML Validation
    Wysoka · 8.1 CVE-2025-68493 >= 2.0.0, <= 2.3.37, >= 2.5.0, <= 2.5.33, >= 6.0.0, < 6.1.1 6.1.1
  2. Apache Struts has a Denial of Service vulnerability
    Wysoka · 8.2 CVE-2025-66675 >= 2.0.0, < 6.8.0, >= 7.0.0, < 7.1.1 6.8.0, 7.1.1
  3. Apache Struts is Vulnerable to DoS via File Leak
    Wysoka · 7.5 CVE-2025-64775 >= 6.0.0, < 6.8.0, >= 7.0.0, < 7.1.1, >= 2.0.0, <= 2.3.37, >= 2.5.0, <= 2.5.33 6.8.0, 7.1.1
  4. Apache Struts file upload logic is flawed ten wpis
    Krytyczna · 9.8 CVE-2024-53677 < 6.4.0 6.4.0
  5. Apache Struts vulnerable to path traversal
    Krytyczna · 9.8 CVE-2023-50164 >= 2.0.0, < 2.5.33, >= 6.0.0, < 6.3.0.2 2.5.33, 6.3.0.2
  6. Apache Struts Improper Control of Dynamically-Managed Code Resources vulnerability
    Wysoka · 7.5 CVE-2023-41835 >= 6.2.0, < 6.3.0.1, >= 6.0.0, < 6.1.2.2, < 2.5.32 6.3.0.1, 6.1.2.2, 2.5.32
  7. Apache Struts vulnerable to memory exhaustion
    Wysoka · 7.5 CVE-2023-34396 < 2.5.31, >= 6.0.0, < 6.1.2.1 2.5.31, 6.1.2.1
  8. Improper Preservation of Permissions in Apache Struts
    Wysoka · 7.5 CVE-2019-0233 >= 2.0.0, < 2.5.22 2.5.22
  9. Remote Code Execution in Apache Struts
    Krytyczna · 9.8 CVE-2016-3082 < 2.3.20.3, >= 2.3.24, < 2.3.24.3, >= 2.3.28, < 2.3.28.1 2.3.20.3, 2.3.24.3, 2.3.28.1
  10. Code injection in Apache Struts
    Wysoka CVE-2013-4316 >= 2.0.0, < 2.3.15.2 2.3.15.2
  11. Apache Struts improper action name cleanup
    Krytyczna · 9.8 CVE-2016-4436 >= 2.0.0, < 2.3.29, >= 2.5-BETA1, < 2.5.1 2.3.29, 2.5.1
  12. Incomplete exclude pattern in Apache Struts
    Wysoka CVE-2015-1831 >= 2.0.0, < 2.3.20.1 2.3.20.1
  13. Special top object can be used to access Struts' internals
    Wysoka · 7.5 CVE-2015-5209 < 2.3.24.1 2.3.24.1
  14. Arbitrary code execution in Apache Struts 2
    Wysoka CVE-2013-2134 >= 2.0.0, < 2.3.14.3 2.3.14.3
  15. Arbitrary code execution in Apache Struts 2
    Wysoka CVE-2013-2135 >= 2.0.0, < 2.3.14.3 2.3.14.3
  16. Apache Struts Code injection due to conversion error
    Wysoka CVE-2012-0838 < 2.2.3.1 2.2.3.1
  17. Apache Struts forced double OGNL evaluation
    Wysoka · 8.8 CVE-2016-4461 >= 2.0.0, < 2.3.29 2.3.29
  18. ClassLoader manipulation in Apache Struts
    Wysoka CVE-2014-0112 < 2.3.20 2.3.20
  19. Arbitrary code execution in Apache Struts
    Wysoka CVE-2013-1966 >= 2.0.0, < 2.3.14.2 2.3.14.2
  20. ClassLoader manipulation in Apache Struts
    Wysoka CVE-2014-0113 < 2.3.20 2.3.20
Pokaż więcej (19) Widać 20 z 39

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.