Apache Struts – Deserialization of Untrusted Data

Beschreibung

In Apache Struts ermöglicht die unsichere Deserialisierung nicht vertrauenswürdiger Daten (Deserialization of Untrusted Data) die Ausführung von beliebigem Code aus der Ferne. Betroffen sind zahlreiche Produkte, die Struts einsetzen, unter anderem von Cisco, Western Digital und NetApp. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 99.4 %.

Changelog

1. 2026-07-15 · zuletzt

   • Zusätzlich betroffen: apache-struts, cisco-webex, cisco, splunk, western-digital, plex-media-server, zimbra, netapp.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage
• CISA KEV-Katalog Nachweislich aktiv ausgenutzte Schwachstellen

Weitere Schwachstellen in Apache HTTP Server / ASF-Projekte

• Apache Log4j2 Remote Code Execution Vulnerability KEV CVE-2021-44228
• Apache HTTP Server – Server-Side Request Forgery (SSRF) KEV CVE-2021-40438
• Apache Tomcat – Improper Privilege Management KEV CVE-2020-1938
• Apache Tomcat Remote Code Execution Vulnerability KEV CVE-2016-8735
• Apache Tomcat Remote Code Execution auf Windows KEV CVE-2017-12615
• Apache Tomcat EncryptInterceptor Bypass – fehlende Verschlüsselung sensibler Daten KEV CVE-2026-34486