8.1
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 8 октомври 2026
Атакува се в момента
3817 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.
- Експлоатация: активно се експлоатира
- Атаката не може да се автоматизира
Описание
Оригинално описание
Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.
Засегнати продукти
- n/a n/a: n/a
Вид слабост
История
- 26 април 2016 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2016-3081
- https://nvd.nist.gov/vuln/detail/CVE-2016-3081
- http://www.securitytracker.com/id/1035665
- https://struts.apache.org/docs/s2-032.html
- http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20160527-01-struts2-en
- http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html
- http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.html
- http://www.rapid7.com/db/modules/exploit/linux/http/struts_dmi_exec
- https://www.exploit-db.com/exploits/39756/
- http://www.securityfocus.com/bid/91787
- http://packetstormsecurity.com/files/136856/Apache-Struts-2.3.28-Dynamic-Method-Invocation-Remote-Code-Execution.html
- http://www.securityfocus.com/bid/87327
- http://www.rapid7.com/db/modules/exploit/multi/http/struts_dmi_exec
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-3081