CVE-2026-104711 in Struts
Riassunto
di VulDB • 05/10/2026
Un bug di "Expression Language Injection" (iniezione nel linguaggio di espressione) dovuto a una neutralizzazione impropria degli elementi speciali utilizzati in un'istruzione del linguaggio di espressione è presente in Apache Struts. Se l'applicazione è configurata per utilizzare il legacy RESTful action mapper, una richiesta appositamente creata può iniettare un'espressione OGNL che potrebbe portare all'esecuzione remota di codice (RCE). La versione 7 di Struts è interessata solo quando la allowlist OGNL è disabilitata; essa è abilitata per impostazione predefinita. Le applicazioni che utilizzano il default action mapper, il restful2 mapper o il plugin REST di Struts non sono colpite.
Questo problema interessa Apache Struts: dalle versioni 2.0.0 alla 2.3.37, dalla 2.5.0 alla 2.5.33, dalla 6.0.0 alla 6.11.0 e dalla 7.0.0 alla 7.3.0.
Si consiglia agli utenti di effettuare l'aggiornamento alle versioni 6.12.0 o 7.4.0, che risolvono il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.