CVE-2023-50164
Apache Struts: File upload component had a directory traversal vulnerability
CRITICAL 9.8
En bref
- Source
- NVD
- EPSS
- EPSS 80.82 % · centile 100 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- apache
- Statut NVD
- Modified
Description
An attacker can manipulate file upload params to enable paths traversal and under some circumstances this can lead to uploading a malicious file which can be used to perform Remote Code Execution. Users are recommended to upgrade to versions Struts 2.5.33 or Struts 6.3.0.2 or greater to fix this issue.
Faiblesses (CWE)
- CWE-552 — Fichiers ou répertoires accessibles à des tiers
Références
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | CRITICAL 9.8 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | NVD · nvd@nist.gov (Primary) |
Avis
- GHSA-2j39-qcjm-428w — Apache Struts vulnerable to path traversal
Références européennes
- ENISA EUVD · EUVD-2023-3074
- GCVE · GCVE-0-2023-50164
Avis du CERT-FR
- CERTFR-2024-AVI-0209 — Multiples vulnérabilités dans les produits SAP · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0171 — Multiples vulnérabilités dans Aruba ClearPass Policy Manager · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0057 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0050 — Multiples vulnérabilités dans Juniper Secure Analytics · cert.ssi.gouv.fr
- CERTFR-2024-AVI-0044 — Multiples vulnérabilités dans Oracle MySQL · cert.ssi.gouv.fr
- CERTFR-2023-AVI-1019 — Vulnérabilité dans les produits Cisco · cert.ssi.gouv.fr
- CERTFR-2023-AVI-1005 — Vulnérabilité dans Apache Struts 2 · cert.ssi.gouv.fr
- CERTFR-2023-ALE-013 — Vulnérabilité dans Apache Struts 2 · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*≥ 2.0.0 < 2.5.33cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*≥ 6.0.0 < 6.3.0.2
Produits affectés
| Produit | Versions |
|---|---|
| Apache Software Foundation · Apache Struts | affected 2.0.0 ≤ 2.5.32 ; affected 6.0.0 ≤ 6.3.0.1 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |