Résumé
généré automatiquement à partir des données NVDApache Struts 2, dans les versions 2.3.19 à 2.3.20.2, 2.3.21 à 2.3.24.1 et 2.3.25 à 2.3.28, permet à un attaquant distant d'exécuter du code arbitraire via le préfixe method: lorsque Dynamic Method Invocation est activé (CWE-77, expressions chaînées). Plusieurs produits Huawei sont listés comme affectés, dont Agile Controller-Campus, AnyOffice, LogCenter, FireHunter6000 et les firmwares OceanStor 5300/5500/5600/5800 V3. La faille, notée 8.1 (HIGH, CVSS v3.1), figure au catalogue CISA KEV, ce qui atteste d'une exploitation active.
Description NVD (anglais)
Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.
⚠️ Activement exploitée — CISA KEV
Cette CVE a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 2026-10-08. Elle est confirmée exploitée dans la nature et doit être patchée en priorité.
Échéance de remédiation (agences fédérales US): 2026-10-11
EPSS · FIRST.org
96,1 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 99 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 18 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 26 avr. 2016
- Mis à jour
- 9 oct. 2026
- Statut
- Analyzed
- Source
- secalert@redhat.com
Produits affectés
Faiblesses (CWE)
Références (23)
- http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.htmlPatchThird Party Advisory
- http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.htmlThird Party Advisory
- http://www.rapid7.com/db/modules/exploit/linux/http/struts_dmi_execThird Party AdvisoryBroken Link
- http://www.rapid7.com/db/modules/exploit/multi/http/struts_dmi_execThird Party Advisory
- http://www.securityfocus.com/bid/87327Third Party AdvisoryVDB Entry
- http://www.securityfocus.com/bid/91787Third Party AdvisoryVDB Entry
- http://www.securitytracker.com/id/1035665Third Party AdvisoryVDB Entry
- https://struts.apache.org/docs/s2-032.htmlPatchVendor Advisory
- https://www.exploit-db.com/exploits/39756/ExploitThird Party AdvisoryVDB Entry
- http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.htmlPatchThird Party Advisory
- http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.htmlThird Party Advisory
- + 8 autres références sur NVD
CVEs similaires
Autres vulnérabilités de type CWE-77
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.