CVSS: 9.0EPSS: 9%CPEs: 2EXPL: 0CVE-2016-4461
https://notcve.org/view.php?id=CVE-2016-4461
Apache Struts 2.x before 2.3.29 allows remote attackers to execute arbitrary code via a "%{}" sequence in a tag attribute, aka forced double OGNL evaluation. NOTE: this vulnerability exists because of an incomplete fix for CVE-2016-0785. Apache Struts en versiones 2.x anteriores a la 2.3.29 permite que atacantes remotos ejecuten código arbitrario mediante una secuencia "%{}" en un atributo de etiqueta. Esto también se conoce como evaluación OGNL doble forzada. NOTA: Esta vulnerabilidad existe debido a una solución incompleta para CVE-2016-0785. • http://www.securityfocus.com/bid/91277 https://security.netapp.com/advisory/ntap-20180629-0004 https://struts.apache.org/docs/s2-036.html • CWE-20: Improper Input Validation •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2015-5169
https://notcve.org/view.php?id=CVE-2015-5169
Cross-site scripting (XSS) vulnerability in Apache Struts before 2.3.20. Existe una vulnerabilidad de tipo Cross-Site Scripting (XSS) en Apache Struts en versiones anteriores a 2.3.20. • http://jvn.jp/en/jp/JVN95989300/index.html http://jvndb.jvn.jp/en/contents/2015/JVNDB-2015-000125.html http://www.securityfocus.com/bid/76625 https://bugzilla.redhat.com/show_bug.cgi?id=1260087 https://security.netapp.com/advisory/ntap-20180629-0003 https://struts.apache.org/docs/s2-025.html • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 9.8EPSS: 97%CPEs: 90EXPL: 3CVE-2017-12611 – Apache Struts 2.0.1 < 2.3.33 / 2.5 < 2.5.10 - Arbitrary Code Execution
https://notcve.org/view.php?id=CVE-2017-12611
In Apache Struts 2.0.0 through 2.3.33 and 2.5 through 2.5.10.1, using an unintentional expression in a Freemarker tag instead of string literals can lead to a RCE attack. En Apache Struts versiones 2.0.0 hasta 2.3.33 y versiones 2.5 hasta 2.5.10.1, el uso de una expresión no intencional en una etiqueta Freemarker en lugar de literales de cadena podría conllevar a un ataque de tipo RCE. • https://www.exploit-db.com/exploits/44556 https://github.com/brianwrf/S2-053-CVE-2017-12611 http://www.arubanetworks.com/assets/alert/ARUBA-PSA-2017-003.txt http://www.oracle.com/technetwork/security-advisory/alert-cve-2017-9805-3889403.html http://www.securityfocus.com/bid/100829 https://kb.netapp.com/support/s/article/ka51A000000CgttQAC/NTAP-20170911-0001 https://struts.apache.org/docs/s2-053.html • CWE-20: Improper Input Validation •
CVSS: 7.5EPSS: 0%CPEs: 66EXPL: 0CVE-2015-5209
https://notcve.org/view.php?id=CVE-2015-5209
Apache Struts 2.x before 2.3.24.1 allows remote attackers to manipulate Struts internals, alter user sessions, or affect container settings via vectors involving a top object. Apache Struts en versiones 2.x anteriores a la 2.3.24.1 permite que los atacantes remotos manipulen estados internos de Struts o alteren la configuración del contenedor mediante vectores que involucren un objeto de la cima. • http://www.securityfocus.com/bid/82550 http://www.securitytracker.com/id/1033908 https://security.netapp.com/advisory/ntap-20180629-0002 https://struts.apache.org/docs/s2-026.html • CWE-20: Improper Input Validation •
CVSS: 9.8EPSS: 2%CPEs: 55EXPL: 0CVE-2016-4436
https://notcve.org/view.php?id=CVE-2016-4436
Apache Struts 2 before 2.3.29 and 2.5.x before 2.5.1 allow attackers to have unspecified impact via vectors related to improper action name clean up. Apache Struts 2 en versiones anteriores a 2.3.29 y 2.5.x en versiones anteriores a 2.5.1 permiten a atacantes tener impacto no especificado a través de vectores relacionados con la limpieza de un nombre de acción inapropiado. • http://www-01.ibm.com/support/docview.wss?uid=ssg1S1009282 http://www-01.ibm.com/support/docview.wss?uid=swg21987854 http://www.oracle.com/technetwork/security-advisory/cpujul2017-3236622.html http://www.securityfocus.com/bid/91280 https://struts.apache.org/docs/s2-035.html •