Apache Struts曝4个安全漏洞，OGNL注入可致远程代码执行

官方披露4个Struts漏洞

Apache Struts 官方安全公告共披露 4 个安全漏洞，受影响应用可能面临三类风险：远程代码执行、拒绝服务以及非预期数据泄露。

官方给出的修复方案很明确：使用 7.x 分支的用户需升级至 Struts 7.4.0 及以上版本，使用 6.x 长期维护分支的用户需升级至 Struts 6.12.0 及以上版本。这些漏洞分布在框架的不同组件中，实际受影响范围取决于应用的具体配置和启用的功能。

本次披露的漏洞中，3 个为中危评级，REST 插件存在的请求体无大小限制漏洞为重要评级。目前暂无证据表明这些漏洞已遭到在野主动利用。

四个漏洞影响条件各不相同

第一个漏洞编号为 CVE-2026-104711，存在于遗留版 RESTful 动作映射器中，属于 OGNL 注入漏洞。如果应用启用了该映射器，攻击者发送构造的特殊请求就可以注入恶意表达式，最终实现远程代码执行。

该漏洞的影响版本包括 Struts 2.0.0-2.3.37、2.5.0-2.5.33、6.0.0-6.11.0；Struts 7.0.0-7.3.0 仅在关闭 OGNL 白名单机制时会受影响。使用默认映射器、restful2 映射器或 Struts REST 插件的应用不受该漏洞影响，Struts 7 默认配置下自带防护能力。该漏洞由 LeaveSong 上报。

第二个漏洞编号为 CVE-2026-104712，攻击者可以用极小的请求触发体量巨大的响应。当请求参数赋值给 java.math.BigDecimal 类型属性、且后续通过 Struts 标签库渲染时，漏洞就会被触发。

未授权攻击者可以持续发送低流量请求，逐步消耗服务器 CPU 资源和出口网络带宽。当资源被占满时，服务就会出现拒绝访问的情况。如果应用使用其他数值类型，或通过 JSON、REST 插件生成响应，则不受该漏洞影响。

该漏洞的影响版本包括 Struts 2.5.14-2.5.33、6.0.0-6.11.0、7.0.0-7.3.0，由 0xCc.Zhang 上报发现。

针对该漏洞的临时缓解方案为使用自定义 BigDecimal 转换器，在渲染前限制数值精度。用户可以通过 classpath 根目录下的 struts-conversion.properties 文件，注册全局生效的转换器。

第三个漏洞编号为 CVE-2026-104713，是本次披露中唯一评级为重要的漏洞，影响通过可选 REST 插件接收请求体的应用。存在漏洞的实现逻辑不会限制请求体大小，会直接将全部内容读入内存。该 REST 插件负责处理传入的 XML、JSON 等格式内容。

攻击者仅需发送一个超大请求，就可以耗尽服务器堆内存。内存耗尽后，服务会直接陷入不可用状态。该漏洞影响版本覆盖 Struts 2.1.8-2.3.37、2.5.0-2.5.33、6.0.0-6.11.0、7.0.0-7.3.0，由 n0mi1k 上报。

修复版本默认设置了 2097152 字符（约 2MB）的请求体长度上限。暂时无法升级的用户可以在反向代理或 Servlet 容器层面，强制限制请求体大小。

第四个漏洞编号为 CVE-2026-104714，出在处理日期、时间参数的共享本地化消息格式化器上。并发请求会产生干扰，导致某一用户的返回内容中出现其他用户的数据，或触发页面渲染错误。

该漏洞同样由 n0mi1k 上报，影响 6.11.0、7.3.0 及以下的对应分支版本。漏洞触发不需要恶意输入，普通的并发流量就可以引发问题。

管理员需尽快升级

使用受影响版本的管理员应尽快升级，同时排查四类配置：动作映射器设置、小数渲染逻辑、REST 接口配置、本地化消息逻辑。

针对格式化器并发问题，暂时无法升级的用户可以在消息插值前提前完成日期格式化，将其作为临时缓解措施。

参考来源：

Critical Apache Struts Vulnerabilities Enables Remote Code Execution Attacks

https://cybersecuritynews.com/apache-struts-vulnerabilities/