CVE-2026-73633

ملخص

ثغرة استهلاك غير مُتحكم فيه للموارد في مكوّن JSON الإضافي في Apache Struts. عندما يتم تكوين تطبيق لملء الإجراءات (actions) من نص طلب JSON، يقرأ المكوّن الإضافي ذلك النص في الذاكرة دون تحديد حد أقصى للمقدار الذي سيقبله، لذا يمكن لطلب واحد استنزاف الذاكرة (heap) وحرمان المستخدمين الآخرين من الخدمة. لا يحدّ حد طول إدخال JSON القابل للتكوين في المكوّن الإضافي من هذه القراءة. مكوّن JSON الإضافي هو مكوّن اختياري؛ التطبيقات التي لا تستخدمه، أو تستخدمه دون تفعيل معالجة نص طلب JSON، غير متأثرة. تؤثر هذه الثغرة على Apache Struts: من الإصدار 2.1.8 حتى 2.3.37، ومن 2.5.0 حتى 2.5.33، ومن 6.0.0 حتى 6.10.0، ومن 7.0.0 حتى 7.2.1. يُنصح المستخدمون بالترقية إلى الإصدار 6.11.0 أو 7.3.0، الذي يعمل على إصلاح الثغرة.

• CVE-2026-73633PoC

  استغلال إثبات المفهوم لـ Apache Struts S2-072 (CVE-2026-73633)، يوضح استنزاف وحدة المعالجة المركزية (CPU) والذاكرة عن طريق إرسال طلبات JSON مصممة خصيصًا إلى إضافة Struts JSON.