Apache Struts 'includeParams' 不完整修复安全绕过漏洞(CVE-2013-2115)

2013-05-30T00:00:00
ID SSV:60812
Type seebug
Reporter Root
Modified 2013-05-30T00:00:00

Description

BUGTRAQ ID: 60167 CVE(CAN) ID: CVE-2013-2115

Struts2 是第二代基于Model-View-Controller (MVC)模型的java企业级web应用框架。它是WebWork和Struts社区合并后的产物。

Apache Struts 2.0.0-2.3.14.1存在未彻底修复的安全措施绕过漏洞(CVE-2013-1966),攻击者可利用此漏洞以当前用户权限执行任意代码。此漏洞已经在Struts 2.3.14.2中修复。 0 Apache Group Struts2 2.0.0 - 2.3.14.1 厂商补丁:

Apache

Apache已经为此发布了一个安全公告(S2-014)以及相应补丁: S2-014:A vulnerability introduced by forcing parameter inclusion in the URL and Anchor Tag allows remote command execution, session access and manipulation and XSS attacks 链接:https://cwiki.apache.org/confluence/display/WW/S2-014