Apache Struts 2.3.34 之前的 2.1.6 至 2.3.x 和 2.5.13 之前的 2.5.x 的 REST Plugin 使用的 XStreamHandler 具有用于反序列化的 XStream 实例（无需任何类型的筛选），在对 XML 负载进行反序列化时，会造成远程代码执行。

远程主机上安装的 Oracle WebLogic Server 版本受到多个 Apache Struts 2 漏洞的影响。在资产上检测到下列其中一个漏洞：

  - CVE-2017-5638: Apache Struts 2 中的 Jakarta Multipart 解析器，尤其是 2.3.32 之前的 2.3.x，及 2.5.10.1 之前的 2.5.x 
  - CVE-2017-7672: Apache Struts 版本 < 2.5.12
  - CVE-2017-9787: Apache Struts 版本 < 2.5.12 或 < 2.3.33
  - CVE-2017-9791: Apache Struts 2.3.x 中的 Struts 1 插件
  - CVE-2017-9793: Apache Struts < 2.3.7 - 2.3.33 与 < 2.5 - 2.5.12
  - CVE-2017-9804: Apache Struts 2.3.7 -2.3.33 与 2.5 - 2.5.12
  - CVE-2017-12611: Apache Struts 2.0.1 - 2.3.33 与 2.5 - 2.5.10

远程主机上运行的 Apache Struts 版本为高于或等于 2.1.2、2.2.x 的 2.1.x、低于 2.3.34 的 2.3.x 或低于 2.5.13 的 2.5.x。因而受到多个漏洞的影响：- 在 REST 插件中，存在远程代码执行漏洞。Struts REST 插件使用的 XStreamHandler 具有用于反序列化的 XStream 实例，在对 XML 负载进行反序列化时，并未执行任何类型的筛选。允许未经身份验证的远程攻击者通过发送特制的 XML 负载，在 Struts REST 插件的环境中执行任意代码。(CVE-2017-9805) - 在 REST 插件所使用的 XStreamHandler 中，XStream XML 反序列化程序中存在拒绝服务漏洞。(CVE-2017-9793) - 使用 URLValidator 时，存在拒绝服务漏洞。(CVE-2017-9804) - 存在与 'freemarker' 标签、表达式文本、'views/freemarker/FreemarkerManager.java' 及强制表达式有关的缺陷，允许执行任意代码。(CVE-2017-12611) 请注意，Nessus 并未测试这些问题，而仅依赖应用程序自我报告的版本号。

远程 Web 应用程序似乎在使用 Apache Struts 2 Web 框架。REST 插件中存在远程代码执行漏洞，其利用 XStreamHandler 不安全地反序列化用户在 XML 中提供的输入。未经身份验证的远程攻击者可利用此问题通过特制的 XML 请求执行任意代码。请注意，此插件仅报告 Struts 2 应用程序的首个有漏洞的实例。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112763	Apache Struts 2.1.6 < 2.3.34 / 2.5 < 2.5.13 远程代码执行 (S2-052)	Web App Scanning	Component Vulnerability	2021/4/28	2024/12/19	high
103663	Oracle WebLogic Server 多个漏洞	Nessus	Misc.	2017/10/4	2025/7/28	critical
102960	Apache Struts 2.1.x >= 2.1.2 / 2.2.x / 2.3.x < 2.3.34 / 2.5.x < 2.5.13 Multiple Vulnerabilities (S2-050 - S2-053)	Nessus	Misc.	2017/9/5	2023/4/25	critical
102977	Apache Struts 2 REST Plugin XStream XML 请求反序列化 RCE	Nessus	CGI abuses	2017/9/6	2025/7/15	high

检测

插件搜索

high

critical

critical

high