CVE-2024-53677
严重已发布
Apache Struts：混用上传文件与普通字段的 setter 可能导致绕过文件上传检查
- 已发布
- 2024年12月11日
- 已更新
- 2025年1月3日
- 分配 CNA
- apache
- 观察到的证据
- 2026年8月8日
初级CVSS
9.5/ 10严重
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:Y/R:A/V:C/RE:L/U:Red70.1%
高 · 未来 30 天
- 百分位
- 99.4%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Apache Struts 中的文件上传逻辑存在缺陷。攻击者可以操纵文件上传参数以实现路径遍历，在某些情况下，这可能导致上传恶意文件，进而可被用于执行远程代码（Remote Code Execution，RCE）。此问题影响 Apache Struts：从 2.0.0 到 6.4.0 之前的版本。建议用户至少升级到 6.4.0 版本，并迁移到新的文件上传机制 https://struts.apache.org/core-developers/file-upload 。如果您未使用基于 FileuploadInterceptor 的旧文件上传逻辑，则您的应用程序是安全的。您可以在 https://cwiki.apache.org/confluence/display/WW/S2-067 中找到更多详细信息。
来源
18针对 Apache Struts CVE-2024-53677 (S2-067) 的概念验证漏洞利用与检测脚本，包含基于 Docker 的易受攻击实验环境，用于测试。
针对CVE-2024-53667的漏洞利用选项及其修复措施研究
一个基于 Docker 的环境，用于复现 Apache Struts 2 中的 CVE-2024-53677 漏洞。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。