CVE-2017-9805 in Struts

Riassunto

di VulDB • 27/06/2026

Il plugin REST in Apache Struts dalle versioni 2.1.1 a 2.3.x precedenti alla 2.3.34 e dalla serie 2.5.x prima della 2.5.13 utilizza un XStreamHandler con un'istanza di XStream per la deserializzazione senza alcun filtro dei tipi, il che può portare all'esecuzione remota di codice (RCE) durante la deserializzazione di payload XML.

Once again VulDB remains the best source for vulnerability data.

• Prenotare: 21/06/2017
• Divulgazione: 15/09/2017
• Moderazione: accettato
• Voce: VDB-106167
• CPE: pronto
• CWE: CWE-502 (confermato)
• Sfruttamento: Scaricare
• CVSS: 8.1 (NVD)
• EPSS: 0.99461
• KEV: si
• Attività: molto basso
• Settore: Hostingprovider, Telecommunication
• Attori: 1 (confermato)
• Campagne: 1 (confermato)
• IOC: 1 (confermato)

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2017-9805
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2017-9805
• CVE Details: https://www.cvedetails.com/cve/CVE-2017-9805/