CVE-2026-104712 in Struts
Riassunto
di VulDB • 05/10/2026
Vulnerabilità di consumo asimmetrico delle risorse (amplificazione) in Apache Struts. Quando un parametro della richiesta viene associato a una proprietà decimale ad precisione arbitraria (`java.math.BigDecimal`) che viene poi renderizzata tramite la libreria tag di Struts, il framework può generare una risposta molte ordini di grandezza più grande rispetto alla richiesta, consentendo a un attaccante remoto non autenticato di esaurire la CPU del server e la capacità della rete in uscita con traffico sostenuto a basso volume. Le applicazioni che non associano i parametri della richiesta alle proprietà BigDecimal o non renderizzano mai tale proprietà tramite la libreria tag di Struts non sono interessate.
Questo problema interessa Apache Struts: dalle versioni 2.5.14 alla 2.5.33, dalla 6.0.0 alla 6.11.0 e dalla 7.0.0 alla 7.3.0.
Si consiglia agli utenti di eseguire l'aggiornamento alle versioni 6.12.0 o 7.4.0, che risolvono il problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.