Apache

Struts

90 Schwachstellen gefunden.

Hinweis: Diese Liste kann unvollständig sein. Daten werden ohne Gewähr im Ursprungsformat bereitgestellt.
7.5

CVE-2015-1831

  • EPSS 6.01%
  • Veröffentlicht 16.07.2015 14:59:00
  • Zuletzt bearbeitet 12.04.2025 10:46:40

The default exclude patterns (excludeParams) in Apache Struts 2.3.20 allow remote attackers to "compromise internal state of an application" via unspecified vectors.

6.8

CVE-2014-7809

  • EPSS 12.47%
  • Veröffentlicht 10.12.2014 15:59:01
  • Zuletzt bearbeitet 12.04.2025 10:46:40

Apache Struts 2.0.0 through 2.3.x before 2.3.20 uses predictable <s:token/> values, which allows remote attackers to bypass the CSRF protection mechanism.

5.8

CVE-2014-0116

  • EPSS 4.89%
  • Veröffentlicht 08.05.2014 10:55:02
  • Zuletzt bearbeitet 12.04.2025 10:46:40

CookieInterceptor in Apache Struts 2.x before 2.3.20, when a wildcard cookiesName value is used, does not properly restrict access to the getClass method, which allows remote attackers to "manipulate" the ClassLoader and modify session state via a cr...

7.5

CVE-2014-0114

  • EPSS 92.74%
  • Veröffentlicht 30.04.2014 10:49:03
  • Zuletzt bearbeitet 12.04.2025 10:46:40

Apache Commons BeanUtils, as distributed in lib/commons-beanutils-1.8.0.jar in Apache Struts 1.x through 1.3.10 and in other products requiring commons-beanutils through 1.9.2, does not suppress the class property, which allows remote attackers to "m...

7.5

CVE-2014-0113

  • EPSS 87.94%
  • Veröffentlicht 29.04.2014 10:37:03
  • Zuletzt bearbeitet 12.04.2025 10:46:40

CookieInterceptor in Apache Struts before 2.3.20, when a wildcard cookiesName value is used, does not properly restrict access to the getClass method, which allows remote attackers to "manipulate" the ClassLoader and execute arbitrary code via a craf...

7.5

CVE-2014-0112

  • EPSS 92.03%
  • Veröffentlicht 29.04.2014 10:37:03
  • Zuletzt bearbeitet 12.04.2025 10:46:40

ParametersInterceptor in Apache Struts before 2.3.20 does not properly restrict access to the getClass method, which allows remote attackers to "manipulate" the ClassLoader and execute arbitrary code via a crafted request. NOTE: this vulnerability ex...

5

CVE-2014-0094

  • EPSS 93.24%
  • Veröffentlicht 11.03.2014 13:00:37
  • Zuletzt bearbeitet 12.04.2025 10:46:40

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

4.3

CVE-2013-6348

Exploit
  • EPSS 6.82%
  • Veröffentlicht 02.11.2013 21:55:04
  • Zuletzt bearbeitet 11.04.2025 00:51:21

Multiple cross-site scripting (XSS) vulnerabilities in Apache Struts 2.3.15.3 allow remote attackers to inject arbitrary web script or HTML via the namespace parameter to (1) actionNames.action and (2) showConfig.action in config-browser/.

10

CVE-2013-4316

  • EPSS 6.17%
  • Veröffentlicht 30.09.2013 21:55:09
  • Zuletzt bearbeitet 11.04.2025 00:51:21

Apache Struts 2.0.0 through 2.3.15.1 enables Dynamic Method Invocation by default, which has unknown impact and attack vectors.

5.8

CVE-2013-4310

  • EPSS 11.4%
  • Veröffentlicht 30.09.2013 21:55:09
  • Zuletzt bearbeitet 11.04.2025 00:51:21

Apache Struts 2.0.0 through 2.3.15.1 allows remote attackers to bypass access controls via a crafted action: prefix.