SecBoard
Zurück zur CVE-Übersicht

CVE-2026-104711

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

1.2%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2026-104711 betrifft Apache Struts und ist eine Expression Language Injection (ELI). Sie ermöglicht bei spezifischer Konfiguration des Legacy RESTful Action Mappers die Injektion von OGNL-Ausdrücken, was zu () führen kann. Diese kritische Schwachstelle erlaubt Angreifern, beliebigen Code auf betroffenen Systemen auszuführen.

Mit einem CVSS-Score von 9.8 (CRITICAL) ist die Schwachstelle als extrem schwerwiegend einzustufen. Obwohl die Probability Scoring System () nur bei 1% liegt und die Schwachstelle nicht in gelistet ist, deutet die RCE-Möglichkeit auf ein hohes potenzielles Risiko hin, insbesondere wenn die spezifische Konfiguration vorliegt.

Security-Teams sollten umgehend prüfen, ob ihre Apache Struts-Installationen die betroffenen Versionen (2.0.0-2.3.37, 2.5.0-2.5.33, 6.0.0-6.11.0, 7.0.0-7.3.0) verwenden und den Legacy RESTful Action Mapper aktiviert haben. Ein Upgrade auf Version 6.12.0 oder 7.4.0 wird dringend empfohlen, um das Risiko einer Kompromittierung zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Improper neutralization of special elements used in an expression language statement ('Expression Language Injection') vulnerability in Apache Struts. If the application is configured to use the legacy RESTful action mapper, a crafted request can inject an OGNL expression that may lead to remote code execution. Struts 7 is affected only when the OGNL allowlist is disabled; it is enabled by default. Applications using the default action mapper, the restful2 mapper, or the Struts REST plugin are not affected. This issue affects Apache Struts: from 2.0.0 through 2.3.37, from 2.5.0 through 2.5.33, from 6.0.0 through 6.11.0, from 7.0.0 through 7.3.0. Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes the issue.

Betroffene Produkte

  • cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*
  • cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*

Referenzen