CVE-2020-17530

Apache Struts, versões 2.0.0 a 2.5.25

O problema é causado pelo tratamento incorreto de expressões da Linguagem de Navegação de Gráficos de Objetos (OGNL), o que pode levar à execução remota de código quando avaliadas em entradas brutas do usuário nos atributos de tags. Isso pode permitir que um invasor remoto execute código arbitrário. A gravidade deste problema é crítica, e uma prova de conceito (PoC) está disponível publicamente, o que pode ter um impacto significativo e abrangente.

Para as versões 2.0.0 a 2.5.25 do Apache Struts, considere desativar a avaliação forçada de OGNL em atributos de tag para impedir a execução remota de código até que um patch esteja disponível. Restrinja o acesso ao endpoint vulnerável hello.action para minimizar o risco de exploração. Evite usar o parâmetro name no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.