遠端主機上安裝的 Apache Struts 版本為 7.2.1。因此，它會受到 JSON 外掛程式中多個弱點的影響，如 S2-070 和 S2-071 公告中所述：

  - 保存每個要求剖析狀態的 JSON 外掛程式元件可以在並行要求之間共用，而不是一次由單一要求使用。因為該狀態不是隔離的，所以與一個要求相關聯的資料可以在另一個要求中變得可觀察，而且設定的剖析限制可能無法如預期般強制執行。只有來自 JSON 要求內文的動作母體會受到影響，預設情況下不會啟用。不使用 JSON 外掛程式的應用程式不會受到影響。（CVE-2026-73631）

  - 保留每個回應序列化狀態的 JSON 外掛程式元件可以在並行要求之間共用，而不是一次由單一要求使用。因為該狀態不是隔離的，所以與一個要求相關聯的回應資料可以在另一個要求中變得可觀察。只有 JSON 攔截器的 SMD / JSON-RPC 處理會受到影響，預設情況下不會啟用。json 結果類型不受影響，因為每個要求都會使用個別的寫入器。（CVE-2026-73632）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Apache Struts 版本为 7.2.1. 因此，如公告 S2-070 和 S2-071 所述，会受到 JSON 插件中多个漏洞的影响：

  - 保存每个请求解析状态的 JSON 插件组件可在并发请求之间共享，而不是一次由单个请求使用。由于该状态不是隔离的，与一个请求相关的数据可在另一个请求中变得可观察，并且可能无法如预期强制执行配置的解析限制。仅 JSON 请求正文中的操作填充会受到影响，默认不启用。不使用 JSON 插件的应用程序不受影响。（CVE-2026-73631）

  - 可在并发请求之间共享保存每个响应序列化状态的 JSON 插件组件，而不是一次由单个请求使用。由于该状态不是隔离的，与一个请求相关的响应数据可在另一个请求中变得可观察。仅 JSON 拦截器的 SMD / JSON-RPC 处理受到影响，默认未启用。json 结果类型不受影响，因为每个请求使用单独的写入器。（CVE-2026-73632）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされているApache Strutsのバージョンは 7.2.1です。したがって、S2-070 および S2-071 のアドバイザリに記載されているように、JSON プラグインの複数の脆弱性の影響を受けます:

  - リクエストごとの解析状態を保持する JSON プラグインのコンポーネントは、一度に 1 つのリクエストで使用されるのではなく、同時リクエスト間で共有される可能性があります。その状態は分離されていないため、あるリクエストに関連するデータは別のリクエストで監視可能になり、設定された解析制限が意図したとおりに実施されない可能性があります。JSON リクエスト本文からのアクションの事前設定のみが影響を受け、デフォルトでは有効になっていません。JSON プラグインを使用しないアプリケーションは影響を受けません。(CVE-2026-73631)

  - 応答ごとのシリアル化状態を保持する JSON プラグインのコンポーネントは、一度に 1 つのリクエストで使用されるのではなく、同時リクエスト間で共有されることがあります。その状態は分離されていないため、1 つの要求に関連付けられた応答データは、別の要求で監視可能になる可能性があります。JSON インターセプタの SMD / JSON-RPC 処理のみが影響を受けます。これはデフォルトでは有効になっていません。リクエストごとに個別のライターが使用されるため、json の結果タイプは影響を受けません。(CVE-2026-73632)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Apache Struts installed on the remote host is 7.2.1. It is, therefore, affected by multiple vulnerabilities in the JSON plugin, as referenced in the S2-070 and S2-071 advisories:

  - A component of the JSON plugin that holds per-request parsing state could be shared between concurrent     requests instead of being used by a single request at a time. Because that state is not isolated, data     associated with one request can become observable in another, and configured parsing limits may not be     enforced as intended. Only the population of actions from a JSON request body is affected, which is not     enabled by default. Applications that do not use the JSON plugin are not affected. (CVE-2026-73631)

  - A component of the JSON plugin that holds per-response serialization state could be shared between     concurrent requests instead of being used by a single request at a time. Because that state is not     isolated, response data associated with one request can become observable in another. Only the SMD /     JSON-RPC handling of the JSON interceptor is affected, which is not enabled by default. The json result     type is not affected, as a separate writer is used for each request. (CVE-2026-73632)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
338628	Apache Struts < 7.3.0 多個漏洞（S2-070）（S2-071）	Nessus	Misc.	2026/8/21	2026/8/28	medium
338628	Apache Struts < 7.3.0 多个漏洞（S2-070）（S2-071）	Nessus	Misc.	2026/8/21	2026/8/28	medium
338628	Apache Struts < 7.3.0 複数の脆弱性(S2-070) (S2-071)	Nessus	Misc.	2026/8/21	2026/8/28	medium
338628	Apache Struts < 7.3.0 Multiple Vulnerabilities (S2-070) (S2-071)	Nessus	Misc.	2026/8/21	2026/8/28	medium

偵測

搜尋 Plugin

medium

medium

medium

medium