CVE-2026-73632
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka JSON w Apache Struts jest podatna na ujawnienie danych do niewłaściwej sesji. Stan serializacji odpowiedzi może być współdzielony między równoczesnymi żądaniami, co pozwala na obserwację treści odpowiedzi jednego żądania w innym. Dotyczy to tylko obsługi SMD / JSON-RPC w interceptorze JSON, która nie jest domyślnie włączona; aplikacje używające typu wyniku json nie są dotknięte.
Ocena ryzyka
Ryzyko wycieku danych między sesjami użytkowników, co może prowadzić do ujawnienia wrażliwych informacji.
Rekomendacja
Zaktualizuj Apache Struts do wersji 7.3.0, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Exposure of data element to wrong session vulnerability in the JSON plugin of Apache Struts. Per-response serialization state could be shared across concurrent requests, allowing response content associated with one request to become observable in another. Only the SMD / JSON-RPC handling of the JSON interceptor is affected, which is not enabled by default; applications using the json result type are not affected. This issue affects Apache Struts: 7.2.1. Users are recommended to upgrade to version 7.3.0, which fixes the issue.