CVE-2026-104711
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2026
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Apache Struts: OGNL injection in the legacy RESTful action mapper
Improper neutralization of special elements used in an expression language statement ('Expression Language Injection') vulnerability in Apache Struts. If the application is configured to use the legacy RESTful action mapper, a crafted request can inject an OGNL expression that may lead to remote code execution. Struts 7 is affected only when the OGNL allowlist is disabled; it is enabled by default. Applications using the default action mapper, the restful2 mapper, or the Struts REST plugin are not affected. This issue affects Apache Struts: from 2.0.0 through 2.3.37, from 2.5.0 through 2.5.33, from 6.0.0 through 6.11.0, from 7.0.0 through 7.3.0. Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes the issue.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
Apache Struts
- Fornecedor
- Apache Software Foundation
- Produto
- Apache Struts
- Plataformas
- Desconhecido
- Status padrão
unaffected- Pacote
- org.apache.struts:struts2-core
- Coleção do pacote
- https://repo.maven.apache.org/maven2
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| 2.0.0 | affected | semver | Indisponível | 2.3.37 | Nenhuma listada |
| 2.5.0 | affected | semver | Indisponível | 2.5.33 | Nenhuma listada |
| 6.0.0 | affected | semver | Indisponível | 6.11.0 | Nenhuma listada |
| 7.0.0 | affected | semver | Indisponível | 7.3.0 | Nenhuma listada |