There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - The OGNL extensive expression evaluation capability in XWork in Struts 2.0.0 through 2.1.8.1, as used in
    Atlassian Fisheye, Crucible, and possibly other products, uses a permissive whitelist, which allows remote
    attackers to modify server-side context objects and bypass the "#" protection mechanism in
    ParameterInterceptors via the (1) #context, (2) #_memberAccess, (3) #root, (4) #this, (5) #_typeResolver,
    (6) #_classResolver, (7) #_traceEvaluations, (8) #_lastEvaluation, (9) #_keepLastEvaluation, and possibly
    other OGNL context variables, a different vulnerability than CVE-2008-6504. (CVE-2010-1870)

远程 Web 应用程序似乎在使用 Struts 2（一种采用 XWork 的 Web 框架）。由于 XWork 中存在一个漏洞，因此可禁用用于防止远程代码执行的设置。远程攻击者可通过提交包含特别构建的 OGNL 语句的 HTTP 请求来利用此漏洞，进而导致执行任意 Java。请注意，Apache Archiva 版本包含 Struts，且可能会受到影响。

遠端主機上執行的 Apache Struts 版本是比 2.2.1 舊的 2.x 版。因此，當因為 ParametersInterceptor 類別發生的錯誤驗證而對 OGNL 運算式進行評估時，會受可能的遠端程式碼執行弱點影響。請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Web 應用程式似乎使用 Struts 2，也就是使用 XWork 的網路架構。由於 XWork 中有一個弱點，因此可停用設計來防止遠端程式碼執行的設定。

遠端攻擊者可藉由提交包含特製 OGNL 陳述式的 HTTP 要求來惡意利用此弱點，進而導致執行任意 Java。

請注意，Apache Archiva 版本包含 Struts，且可能會受到影響。

远程主机上运行的 Apache Struts 版本为低于 2.2.1 的 2.x。因而，由于 ParametersInterceptor 类的验证失当，当评估 OGNL 表达式时，受到可能的远程代码执行漏洞的影响。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

リモート Web アプリケーションで、XWork を使用する Web フレームワークである Struts 2 が使用されているようです。XWork の脆弱性のために、リモートコード実行を防止するために設計されている設定が無効になる可能性があります。

リモートの攻撃者がこれを悪用して、特別に細工された OGNL 文を含む HTTP リクエストを送信して、任意の Java を実行させる可能性があります。

注意：Apache Archiva のバージョンには Struts が含まれており、影響を受ける可能性があります。

リモートホストで実行されているApache Strutsのバージョンは、2.2.1より前の2.xです。したがって、ParameterInterceptorクラスによって不適切に検証されているため、OGNL式を評価するときにリモートでコードが実行される脆弱性の影響を受ける可能性があります。注意：Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号のみに依存しています。

The remote web application appears to use Struts 2, a web framework that uses XWork. Due to a vulnerability in XWork, it is possible to disable settings designed to prevent remote code execution.

A remote attacker can exploit this by submitting an HTTP request containing specially crafted OGNL statements, resulting in the execution of arbitrary Java.

Note that versions of Apache Archiva includes Struts and may be affected.

The version of Apache Struts running on the remote host is 2.x prior to 2.2.1. It, therefore, is affected by a possible remote code execution vulnerability when OGNL expressions are evaluated due to improper validation by the ParametersInterceptor class.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
420305	SCA: security update for org.apache.struts:struts2-core (GHSA-x5fc-pgpx-59j5)	Tenable Self-Hosted Container Security	SCA Checks	1/23/2025	7/2/2026	medium
420305	SCA: security update for org.apache.struts:struts2-core (GHSA-x5fc-pgpx-59j5)	Tenable Cloud Security	SCA Checks	1/23/2025	7/2/2026	medium
47900	Apache Struts 2 / XWork 远程代码执行（安全检查）	Nessus	CGI abuses	7/29/2010	4/11/2022	critical
117363	Apache Struts 2.x < 2.2.1 OGNL RCE (S2-005)	Nessus	Misc.	9/10/2018	10/9/2026	medium
47900	Apache Struts 2 / XWork 遠端程式碼執行 (安全檢查)	Nessus	CGI abuses	7/29/2010	4/11/2022	critical
117363	Apache Struts 2.x < 2.2.1 OGNL RCE (S2-005)	Nessus	Misc.	9/10/2018	10/9/2026	medium
47900	Apache Struts 2 / XWork リモートコード実行（safe check）	Nessus	CGI abuses	7/29/2010	4/11/2022	critical
117363	Apache Struts 2.x < 2.2.1 OGNL RCE（S2-005）	Nessus	Misc.	9/10/2018	10/9/2026	medium
47900	Apache Struts 2 / XWork Remote Code Execution (safe check)	Nessus	CGI abuses	7/29/2010	4/11/2022	critical
117363	Apache Struts 2.x < 2.2.1 OGNL RCE (S2-005)	Nessus	Misc.	9/10/2018	10/9/2026	medium

Detections

Analytics

Plugins Search

medium

medium

critical

medium

critical

medium

critical

medium

critical

medium