Apache Struts – Path Traversal in der Datei-Upload-Logik (S2-067)

Beschreibung

Die Datei-Upload-Logik in Apache Struts ist fehlerhaft. Ein Angreifer kann Upload-Parameter manipulieren, um Path Traversal zu ermöglichen, und unter bestimmten Umständen eine bösartige Datei hochladen, die zur Remote Code Execution genutzt werden kann. Betroffen ist Apache Struts von 2.0.0 vor 6.4.0. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: mindestens auf Version 6.4.0 aktualisieren und auf den neuen Datei-Upload-Mechanismus umstellen.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Apache Struts

• Apache Struts – Unzureichende Eingabevalidierung KEV CVE-2013-2251
• Apache Struts 1 – Unzureichende Eingabevalidierung KEV CVE-2017-9791
• Apache Struts 1 ActionForm Denial-of-Service KEV CVE-2006-1547
• Apache Struts 2 – Unzureichende Eingabevalidierung KEV CVE-2012-0391
• Apache Struts Remote Code Execution KEV CVE-2017-5638
• Apache Struts – Deserialization of Untrusted Data KEV CVE-2017-9805