Michael Mullins

**Nome do Software Vulnerável e Versões Afetadas** Apache Wicket versões anteriores a 8.19.0 Apache Wicket versões anteriores a 9.24.0 Apache Wicket versões anteriores a 10.11.0 **Description** A validação inadequada de atributos de URL de recurso permite que um invasor remoto não autenticado leia arquivos do aplicativo web, incluindo arquivos sob WEB-INF que o contêiner de servlet normalmente não serviria. Os atributos de localidade, estilo e variação decodificados de uma URL de recurso de pacote são inseridos no caminho de busca do recurso sem a verificação de separadores de caminho. Como o `IPackageResourceGuard` e o `WebApplicationPath` não inspecionam a parte do caminho controlada pelo invasor, uma requisição manipulada pode escapar do diretório de pacote pretendido em contêineres de servlet que normalizam `..` em `ServletContext.getResource()`. Os arquivos legíveis são limitados às extensões permitidas pelo `IPackageResourceGuard` configurado. Aplicativos que utilizam o `PackageResourceGuard` baseado em lista de bloqueio ou padrões personalizados podem expor arquivos de configuração, como o `web.xml`. Além disso, o processo de busca pode atuar como um oráculo de existência para caminhos arbitrários. **Recommendations** Atualize para a versão 8.19.0. Atualize para a versão 9.24.0. Atualize para a versão 10.11.0.

**Nome do Software Vulnerável e Versões Afetadas** Apache Struts versões 6.0.0 a 6.10.0 Apache Struts versões 7.0.0 a 7.2.1 **Description** Existe um problema de consumo descontrolado de recursos onde uma aplicação que expõe um endpoint para a coleta de relatórios de violação de Content Security Policy (CSP) lê o relatório enviado na memória sem limites. Isso permite que uma única requisição esgote o heap, resultando em negação de serviço para outros usuários. Esses endpoints são geralmente acessíveis sem autenticação. A distribuição principal não mapeia tal endpoint por padrão, portanto, aplicações que não coletam relatórios de violação não são afetadas. **Recommendations** Atualizar o Apache Struts versões 6.0.0 a 6.10.0 para a versão 6.11.0. Atualizar o Apache Struts versões 7.0.0 a 7.2.1 para a versão 7.3.0.

**Nome do Software Vulnerável e Versões Afetadas** Apache Struts versões 2.1.8 through 2.3.37 Apache Struts versões 2.5.0 through 2.5.33 Apache Struts versões 6.0.0 through 6.10.0 Apache Struts versões 7.0.0 through 7.2.1 **Description** Um problema de consumo descontrolado de recursos existe no plugin JSON. Quando uma aplicação é configurada para preencher ações a partir de um corpo de requisição JSON, o plugin lê esse corpo na memória sem limitar a quantidade aceita. Isso pode permitir que uma única requisição esgote o heap, resultando em negação de serviço para outros usuários. O limite configurável de comprimento de entrada JSON não impede esse comportamento. Este problema afeta apenas aplicações que utilizam o plugin JSON opcional com o processamento de corpo de requisição JSON habilitado. **Recommendations** Atualizar as versões 2.1.8 through 6.10.0 para a versão 6.11.0. Atualizar as versões 7.0.0 through 7.2.1 para a versão 7.3.0. Como mitigação temporária, desative o plugin JSON ou desabilite o processamento de corpo de requisição JSON.