CVE-2018-11776

Yüksek CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 8.1
EPSS: 100.0%
CWE: NVD-CWE-noinfo
KEV Durumu: Evet

Yayım tarihi: 22 Ağustos 2018 · CISA KEV son iyileştirme tarihi: 3 Mayıs 2022

Etkilenen: apache struts

Apache Struts 2.3 ile 2.3.34 ve 2.5 ile 2.5.16 sürümleri, alwaysSelectFullNamespace true olduğunda (kullanıcı tarafından veya Convention Plugin gibi bir eklenti tarafından) olası Uzaktan Kod Yürütme saldırılarına maruz kalabilir ve ardından: sonuçlar ad alanı olmadan kullanılır ve aynı zamanda, üst paketi hiçbir ad alanı veya joker karakter ad alanı içermeyen bir durumda, benzer bir olasılık url etiketi değer ve eylem ayarları olmadan kullanıldığında ve aynı zamanda, üst paketi hiçbir ad alanı veya joker karakter ad alanı içermeyen bir durumda ortaya çıkar.

Orijinal açıklama (İngilizce)

Apache Struts versions 2.3 to 2.3.34 and 2.5 to 2.5.16 suffer from possible Remote Code Execution when alwaysSelectFullNamespace is true (either by user or a plugin like Convention Plugin) and then: results are used with no namespace and in same time, its upper package have no or wildcard namespace and similar to results, same possibility when using url tag which doesn't have value and action set and in same time, its upper package have no or wildcard namespace.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.