[TLP:CLEAR] Apache Struts 2 opravuje vysoce závažnou zranitelnost

Apache Struts 2 verzí 6.1.1 opravuje vysoce závažnou zranitelnost [1].

Apache Struts 2 - information disclosure, DoS, SSRF (CVE-2025-68493)
CVSS 8.1 (High)

Neautentizovanému vzdálenému útočníkovi je za určitých podmínek zasláním speciálně upraveného XML umožněno získat potenciálně citlivá data serveru, vykonat útok DoS, případně SSRF. Zranitelnost se týká komponenty XWork. Není-li okamžitá aktualizace možná, lze riziko dočasně mitigovat úpravou konfigurace na úrovni JVM, nebo nastavením 'xwork.saxParserFactory=' na vlastní třídu zakazující externí entity. Více informací k dočasným opravám naleznete na [1].

Zranitelnost se nachází v produktu:

  • Apache Struts; >=2.0.0, <=2.3.37; >=2.5.0, <=2.5.33; >=6.0.0, <6.1.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 11. 1. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dne 12. 1. 2026.

CESNET, z.s.p.o. Logo