Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je zasíláním speciálně vytvořených požadavků umožněno vykonat útok DoS [2][3]. Zranitelnost lze zneužít, je-li v rámci frameworku povolena podpora pro nahrávání souborů. Není-li okamžitá aktualizace možná, lze pro mitigaci rizika definovat dočasnou složku pro nahrávané soubory na vyhrazeném diskovém oddíle, omezit její maximální velikost, případně zcela zakázat podporu nahrávání souborů [2]. Zranitelnost je rozšířením původní CVE-2025-64775 [4].

Zranitelnost se nachází v produktu:

• Apache Struts; >=2.0.0, <=2.3.37; >=2.5.0, <=2.5.33; >=6.0.0, <=6.7.4; >=7.0.0, <=7.0.3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H

Více informací:

• CVE-2025-66675 na cve.org, NVD
• CWE-459: Incomplete Cleanup na cwe.mitre.org

Zranitelnost byla veřejně oznámena 10. 12. 2025.