Apache Struts: excessive disk usage (Apache Software Foundation Apache Struts)
En bref
- Source
- NVD
- EPSS
- EPSS 7.30 % · centile 94 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- apache
- Statut NVD
- Modified
Rechercher sur…
Description
When a Multipart request is performed but some of the fields exceed the maxStringLength limit, the upload files will remain in struts.multipart.saveDir even if the request has been denied. Users are recommended to upgrade to versions Struts 2.5.32 or 6.1.2.2 or Struts 6.3.0.1 or greater, which fixe this issue.
Faiblesses (CWE)
- CWE-459 — Nettoyage incomplet
Références
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | CISA-ADP |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · nvd@nist.gov (Primary) |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary) |
Avis
- GHSA-729q-fcgp-r5xh — Apache Struts Improper Control of Dynamically-Managed Code Resources vulnerability
Références européennes
- ENISA EUVD · EUVD-2023-3135
- GCVE · GCVE-0-2023-41835
Avis du CERT-FR
- CERTFR-2023-AVI-1062 — Multiples vulnérabilités dans Juniper Secure Analytics · cert.ssi.gouv.fr
- CERTFR-2023-AVI-1055 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2023-AVI-0750 — Vulnérabilité dans Apache Struts · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*≥ 2.0.0 < 2.5.32cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*≥ 6.1.2.1 < 6.3.0.1
Produits affectés
| Produit | Versions |
|---|---|
| Apache Software Foundation · Apache Struts | affected 2.0.0 ≤ 2.5.31 ; affected 6.1.2.1 ≤ 6.3.0 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |