CVE-2026-73634
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W Apache Struts występuje podatność na niekontrolowane zużycie zasobów. Aplikacja udostępniająca punkt końcowy do zbierania raportów naruszeń polityki bezpieczeństwa treści (CSP) odczytuje zgłoszone raporty do pamięci bez ograniczenia ich rozmiaru, co pozwala pojedynczemu żądaniu wyczerpać pamięć i spowodować odmowę usługi. Takie punkty końcowe są zwykle dostępne bez uwierzytelnienia. Aplikacje, które nie zbierają raportów naruszeń, nie są dotknięte.
Ocena ryzyka
Ryzyko odmowy usługi przez wyczerpanie pamięci, co może uniemożliwić działanie aplikacji.
Rekomendacja
Zaktualizuj Apache Struts do wersji 6.11.0 lub 7.3.0, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Uncontrolled resource consumption vulnerability in Apache Struts. An application that exposes an endpoint collecting Content Security Policy violation reports reads the submitted report into memory without bounding how much it will accept, so a single request can exhaust the heap and deny service to other users. Such endpoints are ordinarily reachable without authentication. The core distribution maps no such endpoint by default; applications that do not collect violation reports are not affected. This issue affects Apache Struts: from 6.0.0 through 6.10.0, from 7.0.0 through 7.2.1. Users are recommended to upgrade to version 6.11.0 or 7.3.0, which fixes the issue.