Apache

Struts

99 Schwachstellen gefunden.

Hinweis: Diese Liste kann unvollständig sein. Daten werden ohne Gewähr im Ursprungsformat bereitgestellt.
6.8

CVE-2014-7809

  • EPSS 3.51%
  • Veröffentlicht 10.12.2014 15:59:01
  • Zuletzt bearbeitet 06.05.2026 22:30:45

Apache Struts 2.0.0 through 2.3.x before 2.3.20 uses predictable <s:token/> values, which allows remote attackers to bypass the CSRF protection mechanism.

5.8

CVE-2014-0116

  • EPSS 6.57%
  • Veröffentlicht 08.05.2014 10:55:02
  • Zuletzt bearbeitet 06.05.2026 22:30:45

CookieInterceptor in Apache Struts 2.x before 2.3.20, when a wildcard cookiesName value is used, does not properly restrict access to the getClass method, which allows remote attackers to "manipulate" the ClassLoader and modify session state via a cr...

7.5

CVE-2014-0114

  • EPSS 96.12%
  • Veröffentlicht 30.04.2014 10:49:03
  • Zuletzt bearbeitet 06.05.2026 22:30:45

Apache Commons BeanUtils, as distributed in lib/commons-beanutils-1.8.0.jar in Apache Struts 1.x through 1.3.10 and in other products requiring commons-beanutils through 1.9.2, does not suppress the class property, which allows remote attackers to "m...

7.5

CVE-2014-0113

  • EPSS 77.83%
  • Veröffentlicht 29.04.2014 10:37:03
  • Zuletzt bearbeitet 06.05.2026 22:30:45

CookieInterceptor in Apache Struts before 2.3.20, when a wildcard cookiesName value is used, does not properly restrict access to the getClass method, which allows remote attackers to "manipulate" the ClassLoader and execute arbitrary code via a craf...

7.5

CVE-2014-0112

  • EPSS 97.92%
  • Veröffentlicht 29.04.2014 10:37:03
  • Zuletzt bearbeitet 06.05.2026 22:30:45

ParametersInterceptor in Apache Struts before 2.3.20 does not properly restrict access to the getClass method, which allows remote attackers to "manipulate" the ClassLoader and execute arbitrary code via a crafted request. NOTE: this vulnerability ex...

5

CVE-2014-0094

  • EPSS 99.52%
  • Veröffentlicht 11.03.2014 13:00:37
  • Zuletzt bearbeitet 06.05.2026 22:30:45

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

4.3

CVE-2013-6348

Exploit
  • EPSS 6.13%
  • Veröffentlicht 02.11.2013 21:55:04
  • Zuletzt bearbeitet 29.04.2026 01:13:23

Multiple cross-site scripting (XSS) vulnerabilities in Apache Struts 2.3.15.3 allow remote attackers to inject arbitrary web script or HTML via the namespace parameter to (1) actionNames.action and (2) showConfig.action in config-browser/.

10

CVE-2013-4316

  • EPSS 8.4%
  • Veröffentlicht 30.09.2013 21:55:09
  • Zuletzt bearbeitet 29.04.2026 01:13:23

Apache Struts 2.0.0 through 2.3.15.1 enables Dynamic Method Invocation by default, which has unknown impact and attack vectors.

5.8

CVE-2013-4310

  • EPSS 7.52%
  • Veröffentlicht 30.09.2013 21:55:09
  • Zuletzt bearbeitet 29.04.2026 01:13:23

Apache Struts 2.0.0 through 2.3.15.1 allows remote attackers to bypass access controls via a crafted action: prefix.

9.8

CVE-2013-2251

Warnung Exploit
  • EPSS 100%
  • Veröffentlicht 20.07.2013 03:37:30
  • Zuletzt bearbeitet 22.04.2026 14:39:34

Apache Struts 2.0.0 through 2.3.15 allows remote attackers to execute arbitrary OGNL expressions via a parameter with a crafted (1) action:, (2) redirect:, or (3) redirectAction: prefix.