CVE-2026-73633
Apache Struts: Unbegrenztes Lesen eines JSON-Anforderungstexts
- Veröffentlicht
- 14.08.2026
- Aktualisiert
- 14.08.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 16.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HNiedrig · nächste 30 Tage
- Perzentil
- 52,1 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Unkontrollierte Ressourcenverbrauch-Schwachstelle im JSON-Plugin von Apache Struts. Wenn eine Anwendung so konfiguriert ist, dass sie Aktionen aus einem JSON-Anforderungstext befüllt, liest das Plugin diesen Text in den Speicher, ohne zu begrenzen, wie viel es akzeptiert. Eine einzelne Anforderung kann daher den Heap erschöpfen und anderen Benutzern den Dienst verweigern. Das konfigurierbare JSON-Eingabelängenlimit des Plugins begrenzt dieses Lesen nicht. Das JSON-Plugin ist eine optionale Komponente; Anwendungen, die es nicht verwenden oder es ohne aktivierte JSON-Anforderungstext-Verarbeitung einsetzen, sind nicht betroffen. Dieses Problem betrifft Apache Struts: von 2.1.8 bis 2.3.37, von 2.5.0 bis 2.5.33, von 6.0.0 bis 6.10.0, von 7.0.0 bis 7.2.1. Benutzern wird empfohlen, auf Version 6.11.0 oder 7.3.0 zu aktualisieren, die das Problem behebt.
Quellen
Proof-of-Concept-Exploit für Apache Struts S2-072 (CVE-2026-73633), der die Erschöpfung von CPU und Arbeitsspeicher demonstriert, indem präparierte JSON-Anfragen an das Struts-JSON-Plugin gesendet werden.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.