CVE-2017-9805

AltoPublicado

Vulnerabilidad de Deserialización de Datos No Confiables en Apache Struts

Publicado: 15 sept 2017
Actualizado: 21 oct 2025
Asignación de CNA: apache
Evidencia observada: 6 sept 2017

CVSS primario

8,1/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Estimación de probabilidad EPSS

99,4 %

Alto · próximos 30 días

Percentil: 99,9 %
Fecha del modelo: 12 oct 2026

EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.

CISA conocida explotada

Este CVE aparece en el catálogo de vulnerabilidades explotadas conocidas de CISA.

Resumen

El Plugin REST en Apache Struts versiones 2.1.1 hasta 2.3.x anteriores a 2.3.34 y versiones 2.5.x anteriores a 2.5.13, usa una XStreamHandler con una instancia de XStream para deserialización sin ningún filtrado de tipos, lo que puede conllevar a una ejecución de código remota cuando se deserializan cargas XML.

Fuentes

Evidencia de repositorios: Archivos: 3 · Repositorios: 3

1 Módulo1 Plantilla1 Laboratorio

Apache Struts2 S2-052 - Remote Code ExecutionPlantilla
http/cves/2017/CVE-2017-9805.yaml
Nuclei Templates
DetecciónEvidencia observada: 25 sept 2026Revisión: fb9ca9b84bccHerramienta relacionada
Condiciones declaradas
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
S2-052 Remote Code ExecutionLaboratorio
struts2/s2-052
S2-052 Remote Code Execution Vulnerablity
Vulhub vulnerability labs
InvestigaciónEvidencia observada: 25 sept 2026Revisión: 8fd63916f7a8Herramienta relacionada
Condiciones declaradas
- lab image version: vulhub/struts2:2.5.12-rest-showcase(struts2/s2-052/docker-compose.yml:services.struts2.image)
Apache Struts 2 REST Plugin XStream RCEMódulo
modules/exploits/multi/http/struts2_rest_xstream.rb
Metasploit Framework modules
ExploitEvidencia observada: 26 sept 2026Revisión: 2d664636002dHerramienta relacionada
Condiciones declaradas
- platform: Linux,Python,Unix,Windows($.exploit_multi/http/struts2_rest_xstream.platform)
- verification: check_declared($.exploit_multi/http/struts2_rest_xstream.check)

Uso responsable

Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.