CVE-2026-104714
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W Apache Struts występuje podatność typu race condition związana z niewłaściwą synchronizacją współdzielonego zasobu. Gdy zlokalizowana wiadomość formatuje argument daty lub czasu, formater używany przez aplikację nie jest izolowany między równoczesnymi żądaniami, co może prowadzić do wycieku danych między użytkownikami lub błędów serwera.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych innego użytkownika lub wywołać błąd serwera, co może prowadzić do naruszenia poufności lub dostępności.
Rekomendacja
Zaktualizuj Apache Struts do wersji 6.12.0 lub 7.4.0, które naprawiają tę podatność.
Inne podatności w Apache Struts
Zobacz wszystkie- CVE-2016-3090Wysokie
Metoda TextParseUtil.translateVariables w Apache Struts 2.x przed wersją 2.3.20 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane wyrażenie OGNL z wykorzystaniem narzędzi ANTLR.
- CVE-2016-4461Wysokie
Apache Struts 2.x przed wersją 2.3.29 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez sekwencję "%{}" w atrybucie tagu, co jest znane jako wymuszone podwójne ocenianie OGNL.
- CVE-2017-9804Wysokie
W Apache Struts w wersjach od 2.3.7 do 2.3.33 oraz od 2.5 do 2.5.12, istnieje możliwość przygotowania specjalnego URL, który może przeciążyć proces serwera podczas walidacji URL w formularzu. Problem ten wynika z niekompletnej poprawki dla S2-047 / CVE-2017-7672.
- CVE-2015-5209Wysokie
Apache Struts 2.x przed wersją 2.3.24.1 pozwala zdalnym atakującym na manipulację wewnętrznymi elementami Struts, co może prowadzić do zmiany sesji użytkowników lub wpływania na ustawienia kontenera.
- CVE-2017-9787Wysokie
Wykorzystanie funkcjonalności AOP w Spring do zabezpieczania akcji Struts może prowadzić do ataku DoS.
- CVE-2016-4433Wysokie
Apache Struts 2 w wersjach od 2.3.20 do 2.3.28.1 pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu oraz przeprowadzenie ataków redirekcyjnych za pomocą spreparowanego żądania.
- CVE-2016-4431Wysokie
Apache Struts 2 w wersjach od 2.3.20 do 2.3.28.1 pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu oraz przeprowadzanie ataków redirekcyjnych poprzez wykorzystanie domyślnej metody.
- CVE-2016-4430Wysokie
Apache Struts 2 w wersjach od 2.3.20 do 2.3.28.1 niewłaściwie obsługuje walidację tokenów, co umożliwia zdalnym atakującym przeprowadzanie ataków typu cross-site request forgery (CSRF) za pomocą nieokreślonych wektorów.
- CVE-2016-0785Wysokie
Apache Struts 2.x przed wersją 2.3.28 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez sekwencję "%{}" w atrybucie tagu, co jest znane jako wymuszone podwójne ocenianie OGNL.
- CVE-2015-1831Wysokie
Domyślne wzorce wykluczeń (excludeParams) w Apache Struts 2.3.20 umożliwiają zdalnym atakującym kompromitację wewnętrznego stanu aplikacji za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Concurrent execution using shared resource with improper synchronization ('race condition') vulnerability in Apache Struts. Where a localized message formats a date or time argument, the formatter retained for that message by the application-wide text provider is used by concurrently served requests without isolation, so a value belonging to one user can appear in another user's response, or the rendering can fail and surface as a server error. Applications whose localized messages format no date or time arguments are not affected. This issue affects Apache Struts: from 2.0.0 through 2.3.37, from 2.5.0 through 2.5.33, from 6.0.0 through 6.11.0, from 7.0.0 through 7.3.0. Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS