Apache Struts 2“action:”参数前缀安全限制绕过
medium Nessus 插件 ID 70168
语言：
简介
远程 Web 服务器中包含的 Web 应用程序使用受到安全限制绕过漏洞影响的 Java 框架。描述
远程 Web 应用程序似乎在使用 Struts 2（一种用于创建 Java Web 应用程序的 Web 框架）。使用中的 Struts 2 版本受到因操作映射机制中的缺陷造成的安全限制绕过漏洞的影响。在某些不明情况下，攻击者可利用此问题绕过安全限制。请注意，已知此 Struts 2 版本默认已启用 Dynamic Method Invocation (DMI)。这可为 Struts 2 带来更多漏洞，因此建议禁用 DMI。(CVE-2013-4316)
请注意，此插件将仅报告 Struts 2 应用程序的首个有漏洞的实例。
解决方案
升级至 2.3.15.2 或更高版本。另见
插件详情
严重性: Medium
ID: 70168
文件名: struts_2_3_15_2.nasl
版本: 1.18
类型: remote
系列: CGI abuses
发布时间: 2013/9/27
最近更新时间: 2025/5/14
支持的传感器: Nessus
Enable CGI Scanning: true
风险信息
VPR
风险因素: Medium
分数: 5.9
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2013-4316
CVSS v3
风险因素: Medium
基本分数: 6.5
时间分数: 5.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/a:apache:struts
易利用性: No exploit is required
补丁发布日期: 2013/9/17
漏洞发布日期: 2013/9/17
参考资料信息
CVE: CVE-2013-4310, CVE-2013-4316
BID: 62584