CVE-2016-3081
Vulnerabilidade de execução remota de código do Apache Struts
Traduzido automaticamente do inglês.
Apache Struts contém uma vulnerabilidade de injeção de comando que poderia permitir que atacantes remotos executem código arbitrário via method:prefix quando a Invocação Dinâmica de Métodos está habilitada.
- Explorada ativamente
- Gravidade
- Alta, CVSS 8.1 (v3.1)
- EPSS
- 96,05% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Fabricante
- Apache, Struts
- Prazo da CISA para agências federais dos EUA
- 11 de out. de 2026
- Ação exigida
- Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable.
- Pacotes afetados
- org.apache.struts:struts2-core (maven) >= 2.3.19, <= 2.3.20.2, corrigido em 2.3.20.3 · GHSA-8c6j-ffmf-q6vm
- org.apache.struts:struts2-core (maven) >= 2.3.25, <= 2.3.28, corrigido em 2.3.28.1 · GHSA-8c6j-ffmf-q6vm
- org.apache.struts:struts2-core (maven) >= 2.3.21, <= 2.3.24.2, corrigido em 2.3.24.3 · GHSA-8c6j-ffmf-q6vm