CVE-2026-73631
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność w Apache Struts wtyczki JSON powoduje, że stan parsowania żądania może być współdzielony między równoczesnymi żądaniami, co umożliwia obserwację danych z jednego żądania w innym oraz nieprzestrzeganie skonfigurowanych limitów parsowania. Domyślnie wypełnianie akcji z treści JSON nie jest włączone, więc aplikacje nieużywające tej wtyczki nie są zagrożone.
Ocena ryzyka
Ryzyko polega na potencjalnym wycieku danych między żądaniami oraz na możliwym obejściu limitów, co może prowadzić do nieautoryzowanego dostępu do informacji lub przeciążenia systemu.
Rekomendacja
Zaleca się aktualizację Apache Struts do wersji 7.3.0, która naprawia ten problem. Jeśli nie używasz wtyczki JSON, nie musisz podejmować dodatkowych działań.
Oryginalny opis (angielski, źródło NVD)
Exposure of data element to wrong session vulnerability in the JSON plugin of Apache Struts. Per-request parsing state could be shared across concurrent requests, allowing data associated with one request to become observable in another, and configured parsing limits not to be enforced as intended. Populating actions from a JSON request body is not enabled by default; applications that do not use the JSON plugin are not affected. This issue affects Apache Struts: 7.2.1. Users are recommended to upgrade to version 7.3.0, which fixes the issue.