PT-2026-1915 · Apache · Apache Struts
CVE-2025-68493
·
Publicado
2025-12-19
·
Atualizado
2026-08-03
CVSS v2.0
9.4
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:N/A:C |
Nome do Software Vulnerável e Versões Afetadas
Apache Struts versões 2.0.0 through 6.1.0
Description
Uma falha de processamento de XML existe no componente XWork do Apache Struts, especificamente no parser SAX não configurado da classe
DomHelper. O componente não valida a configuração XML de forma adequada, tornando-o suscetível à injeção de Entidades Externas de XML (XXE). Isso permite que um invasor remoto utilize XML manipulado para ler arquivos locais sensíveis e recursos internos, desencadear Server-Side Request Forgery (SSRF) ou causar uma condição de Negação de Serviço (DoS).Recommendations
Atualize o Apache Struts para a versão 6.1.1.
Como solução temporária, desative o processamento de entidades externas via propriedades da JVM ou um
SAXParserFactory personalizado.
Restrinja o tráfego de saída (egress) para minimizar o risco de SSRF e exfiltração de dados.Exploit
Correção
DoS
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Struts