CVE-2012-0391
Publiée le 2012-01-08 · Dernière modification le 2026-06-16 KEV — activement exploitée
Les frameworks Apache Struts antérieurs à la version 2.2.3.1 sont affectés par une faille dans la gestion des erreurs de type de données. Un attaquant distant peut exécuter du code Java arbitraire sur votre serveur en envoyant un paramètre spécialement conçu dans une requête HTTP. Cette exploitation est facile à réaliser car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être déclenchée via le réseau.
ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)
Apache Struts 2 Improper Input Validation Vulnerability — The ExceptionDelegator component in Apache Struts 2 before 2.2.3.1 contains an improper input validation vulnerability that allows for remote code execution. Ajoutée au catalogue KEV de la CISA le 2022-01-21. Date limite de correction (agences fédérales américaines) : 2022-07-21.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- cve@mitre.org
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- af854a3a-2127-422b-91ae-364da2661108
- 134c704f-9b21-4f2e-91b3-4a467353bcc0
Description officielle du NVD (en anglais)
The ExceptionDelegator component in Apache Struts before 2.2.3.1 interprets parameter values as OGNL expressions during certain exception handling for mismatched data types of properties, which allows remote attackers to execute arbitrary Java code via a crafted parameter.