CVE-2016-6795
KrytyczneStreszczenie
Wtyczka Convention w Apache Struts w wersjach 2.3.x przed 2.3.31 oraz 2.5.x przed 2.5.5 umożliwia przygotowanie specjalnego URL, który może być wykorzystany do przeprowadzenia ataku typu path traversal oraz wykonania dowolnego kodu po stronie serwera.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu oraz wykonania szkodliwego kodu, co może prowadzić do poważnych konsekwencji dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Apache Struts do wersji 2.3.31 lub 2.5.5 oraz przeprowadzenie audytu bezpieczeństwa aplikacji w celu zminimalizowania ryzyka.
Oryginalny opis (angielski, źródło NVD)
In the Convention plugin in Apache Struts 2.3.x before 2.3.31, and 2.5.x before 2.5.5, it is possible to prepare a special URL which will be used for path traversal and execution of arbitrary code on server side.