CVE-2021-31805-POC

Informations sur la vulnérabilité Apache Struts est un framework MVC open source gratuit utilisé pour créer des applications Web Java modernes et élégantes. Il privilégie la convention plutôt que la configuration, peut être étendu via une architecture de plugins et inclut des plugins prenant en charge REST, AJAX et JSON. Récemment, Apache a publié un avis de sécurité concernant la vulnérabilité d'exécution de code à distance S2-062, identifiée sous le numéro CVE-2021-31805 :

Le correctif publié pour CVE-2020-17530 est incomplet. Par conséquent, de Apache Struts 2.0.0 à 2.5.29, si un développeur applique une évaluation OGNL forcée en utilisant la syntaxe %{…}, certains attributs de balises peuvent encore subir une double évaluation. L'utilisation d'une évaluation OGNL forcée sur des entrées utilisateur non fiables peut entraîner une vulnérabilité d'exécution de code à distance. La vulnérabilité identifiée sous le numéro CVE-2022-22954 affecte les versions suivantes : Struts 2.0.0 - Struts 2.5.29