远程主机上安装的 Apache Struts 版本低于 6.0.06.11.0或7.0.07.3.0低于 。因此，如公告 S2-072 和 S2-074 所述，受到多个拒绝服务漏洞的影响：

  - 当应用程序配置为从 JSON 请求正文填充操作时，该插件会将该正文读入内存，而不限制它将接受的数量。因此，单个请求可造成服务器按照请求大小按比例分配内存，从而耗尽堆并拒绝向其他用户提供服务。此插件对 JSON 输入长度的可配置限制未限制此读取，因此降低该限制不会减少风险暴露。此问题仅限于 JSON 插件，它是可选组件，不属于 Struts 核心。不使用 JSON 插件的应用程序不会受到影响，使用该插件但未启用 JSON 请求正文处理（默认不启用）的应用程序也不会受到影响。（CVE-2026-73633）

  - Struts 通过本地化文本查找解决类型转换和验证错误消息。如果未配置固定的区域设置，则会从入站请求获取查找区域设置，因此未经认证的远程客户端可驱动框架的内部本地化文本缓存在无边界的情况下增长并耗尽堆内存。配置固定区域设置的应用程序不受影响。（CVE-2026-73635）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 多个漏洞（S2-072）（S2-074）

high Nessus 插件 ID 338651

版本 1.1

检测

Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 多个漏洞 （S2-072） （S2-074）

high Nessus 插件 ID 338651

版本 1.1

Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 多个漏洞（S2-072）（S2-074）