There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Cross-site scripting (XSS) vulnerability in Apache Struts before 2.3.20. (CVE-2015-5169)

遠端 Web 伺服器正在使用的 Struts 2 版本受到一個跨網站要求偽造弱點影響，這是因為 token 產生器無法正確隨機化 token 值所致。攻擊者可惡意利用此弱點，從表單擷取 token，然後預測下一個用於保護表單提交的 token 值。攻擊者可誘騙受害者造訪特製的表單，進而利用預測的 token 值強制為登入的使用者執行動作。

請注意，只有在表單中已使用 <s:token/> 標籤的情況下，此弱點才有可能遭到惡意利用。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程 Web 服务器使用的 Struts 2 版本受到跨站请求伪造漏洞的影响，此漏洞产生的原因是标记生成器未充分随机化标记值。攻击者可利用此漏洞，从一个表单提取标记，然后预测将用于保护表单提交的下一个标记值。通过诱使受害者访问特别构建的表单，攻击者可使用预测的标记值对登录的用户强制执行操作。

请注意，只能在表单中使用 <s:token/> 标签时利用此漏洞。

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

リモート Web サーバーが、クロスサイトリクエスト偽造の脆弱性の影響を受ける Struts 2 のバージョンを使用しています。この脆弱性は、トークンジェネレーターがトークンの値を適切にランダム化しないことにより発生します。攻撃者がフォームからトークンを抽出し、安全なフォームの送信に使用される次のトークン値を予測することで、この問題を悪用する可能性があります。被害者を特別に細工されたフォームにアクセスさせることにより、推測されたトークンの値を使用して、ログインしたユーザーにアクションを強要する可能性があります。

なお、この脆弱性は、<s:token/> タグがフォーム内で使用されたときにしか悪用できません。

Nessus は、この問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

The remote web server is using a version of Struts 2 that is affected by multiple vulnerabilities :

  - A cross-site request forgery vulnerability exists due to     the token generator failing to adequately randomize the     token values. An attacker can exploit this issue by     extracting a token from a form and then predicting the     next token value that will be used to secure form     submissions. By convincing a victim to visit a specially     crafted form, the predicted token value can be used to     force an action for a logged in user. Note that this     vulnerability can only be exploited when the <s:token/>     tag is used within a form. (CVE-2014-7809)

  - A cross-site scripting vulnerability exists due to     improper validation of input passed via the 'Problem     Report' screen when using debug mode. An     unauthenticated, remote attacker can exploit this, via a     specially crafted request, to execute arbitrary script     code in the context of a user's browser session.
    (CVE-2015-5169)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
419581	SCA: security update for org.apache.struts:struts2-core (GHSA-vwhv-j36g-5rm8)	Tenable Self-Hosted Container Security	SCA Checks	2025/1/23	2026/7/2	medium
419581	SCA: security update for org.apache.struts:struts2-core (GHSA-vwhv-j36g-5rm8)	Tenable Cloud Security	SCA Checks	2025/1/23	2026/7/2	medium
79860	Apache Struts 2 預測的 Token XSRF	Nessus	Misc.	2014/12/10	2026/10/9	high
79860	Apache Struts 2 预测的标记 XSRF	Nessus	Misc.	2014/12/10	2026/10/9	high
79860	Apache Struts 2 の推測されたトークンによる XSRF	Nessus	Misc.	2014/12/10	2026/10/9	high
79860	Apache Struts 2 Multiple Vulnerabilities (S2-023) (S2-025)	Nessus	Misc.	2014/12/10	2026/10/9	high

偵測

搜尋 Plugin

medium

medium

high

high

high

high