Apache · Struts 1
CVE-2017-9791
Apache Struts 1 Improper Input Validation Vulnerability
Exploitée dans des attaques
Critique 9,8 Risque d'attaque : 99%
De quoi s'agit-il
The Struts 1 plugin in Apache Struts 2.1.x and 2.3.x might allow remote code execution via a malicious field value passed in a raw message to the ActionMessage.
CISA: The Struts 1 plugin in Apache Struts might allow remote code execution via a malicious field value passed in a raw message to the ActionMessage.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 10 août 2022
- Ajoutée à la liste de la CISA
- 10 février 2022
- Publiée
- 10 juillet 2017
- Gravité
- Critique 9,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 99% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-20
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (7)
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2017-9805-3889403.html
- http://www.securityfocus.com/bid/99484
- https://www.exploit-db.com/exploits/42324/
- http://struts.apache.org/docs/s2-048.html
- http://www.securitytracker.com/id/1038838
- https://www.exploit-db.com/exploits/44643/
- https://security.netapp.com/advisory/ntap-20180706-0002/
Autres failles exploitées chez Apache
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 21 janv. 2022 | ActionForm Denial-of-Service | Struts 1 | Élevé 7,5 | 55% |
| 8 oct. 2026 | Command Injection | Struts | Élevé 8,1 | 97% |
| 4 août 2026 | Missing Encryption of Sensitive Data | Tomcat | Élevé 7,5 | 99% |
| 16 avr. 2026 | Improper Input Validation | ActiveMQ | Élevé 8,8 | 98% |
| 1 mai 2025 | Improper Escaping of Output | HTTP Server | Critique 9,1 | >99,9% |
| 1 avr. 2025 | Path Equivalence | Tomcat | Critique 10,0 | 99,9% |
| 4 févr. 2025 | Forced Browsing | OFBiz | Critique 9,8 | >99,9% |
| 18 sept. 2024 | Improper Access Control | HugeGraph-Server | Critique 9,8 | 99,2% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.