CVE-2026-73633

सारांश

Apache Struts के JSON प्लगइन में अनियंत्रित संसाधन खपत की भेद्यता। जब किसी एप्लिकेशन को JSON अनुरोध बॉडी से एक्शन भरने के लिए कॉन्फ़िगर किया जाता है, तो प्लगइन उस बॉडी को बिना यह सीमा तय किए कि वह कितना स्वीकार करेगा, मेमोरी में पढ़ लेता है, जिससे एक ही अनुरोध हीप को समाप्त कर सकता है और अन्य उपयोगकर्ताओं के लिए सेवा से इनकार कर सकता है। प्लगइन की कॉन्फ़िगर करने योग्य JSON इनपुट लंबाई सीमा इस पढ़ने को सीमित नहीं करती है। JSON प्लगइन एक वैकल्पिक घटक है; जो एप्लिकेशन इसका उपयोग नहीं करते हैं, या इसे JSON अनुरोध-बॉडी हैंडलिंग सक्षम किए बिना उपयोग करते हैं, वे प्रभावित नहीं होते हैं। यह मुद्दा Apache Struts को प्रभावित करता है: 2.1.8 से 2.3.37 तक, 2.5.0 से 2.5.33 तक, 6.0.0 से 6.10.0 तक, 7.0.0 से 7.2.1 तक। उपयोगकर्ताओं को संस्करण 6.11.0 या 7.3.0 में अपग्रेड करने की अनुशंसा की जाती है, जो इस मुद्दे को ठीक करता है।

• CVE-2026-73633PoC

  Apache Struts S2-072 (CVE-2026-73633) के लिए प्रमाण-अवधारणा शोषण (Proof-of-concept exploit), जो Struts JSON प्लगइन पर निर्मित JSON अनुरोध भेजकर CPU और मेमोरी की समाप्ति (exhaustion) का प्रदर्शन करता है।