遠端主機上安裝的 Apache Struts 版本早於 6.0.06.11.0或7.0.07.3.0早於 。因此，它會受到多個拒絕服務弱點的影響，如 S2-072 和 S2-074 公告中所述：

  - 將應用程式設定為從 JSON 要求內文填入動作時，外掛程式會將該內文讀取到記憶體中，而不會限制其接受的數量。因此，單一要求可能會導致伺服器按照要求大小比例配置記憶體，耗盡堆積並拒絕向其他使用者提供服務。外掛程式對 JSON 輸入長度的可設定限制不會限制此讀取，因此降低該限制不會減少曝險。此問題僅限於 JSON 外掛程式，該外掛程式是選用元件，而不是 Struts 核心的一部分。不使用 JSON 外掛程式的應用程式不會受到影響，使用該外掛程式而不啟用 JSON 要求內文處理的應用程式也不會受到影響 （預設情況下不會啟用）。（CVE-2026-73633）

  - Struts 透過當地語系化文字查詢來解決類型轉換和驗證錯誤訊息。未設定固定地區設定時，查詢地區設定會從傳入要求取得，因此未經驗證的遠端用戶端可以驅動架構的內部當地語系化文字快取成長，而不會受到限制並耗盡堆積記憶體。設定固定地區設定的應用程式不受影響。（CVE-2026-73635）

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Apache Struts 版本低于 6.0.06.11.0或7.0.07.3.0低于 。因此，如公告 S2-072 和 S2-074 所述，受到多个拒绝服务漏洞的影响：

  - 当应用程序配置为从 JSON 请求正文填充操作时，该插件会将该正文读入内存，而不限制它将接受的数量。因此，单个请求可造成服务器按照请求大小按比例分配内存，从而耗尽堆并拒绝向其他用户提供服务。此插件对 JSON 输入长度的可配置限制未限制此读取，因此降低该限制不会减少风险暴露。此问题仅限于 JSON 插件，它是可选组件，不属于 Struts 核心。不使用 JSON 插件的应用程序不会受到影响，使用该插件但未启用 JSON 请求正文处理（默认不启用）的应用程序也不会受到影响。（CVE-2026-73633）

  - Struts 通过本地化文本查找解决类型转换和验证错误消息。如果未配置固定的区域设置，则会从入站请求获取查找区域设置，因此未经认证的远程客户端可驱动框架的内部本地化文本缓存在无边界的情况下增长并耗尽堆内存。配置固定区域设置的应用程序不受影响。（CVE-2026-73635）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされているApache Strutsのバージョンは、6.11.0より前の6.0.0、または7.3.0より前の7.0.0です。したがって、S2-072およびS2-074のアドバイザリに記載されているように、複数のサービス拒否の脆弱性の影響を受けます:

  - アプリケーションが JSON リクエスト本文からのアクションを入力できるように構成されている場合、プラグインは、受け入れる量を制限することなくその本文をメモリに読み取ります。このため、単一のリクエストによってサーバーがリクエストのサイズに比例してメモリを割り当て、ヒープを使い果たし、他のユーザーへのサービスを拒否する可能性があります。JSON 入力長に関するプラグインの設定可能な制限は、この読み込みを制限しないため、この制限を下げても露出は減少しません。この問題は JSON プラグインに限定されています。このプラグインはオプションのコンポーネントであり、Struts コアの一部ではありません。JSON プラグインを使用しないアプリケーションは影響を受けません。また、デフォルトで有効になっていない JSON リクエスト本文処理を有効化せずに JSON プラグインを使用するアプリケーションも影響を受けません。(CVE-2026-73633)

  - Struts は、localized-text 検索を通じて、型変換および検証エラーメッセージを解決します。固定ロケールが構成されていない場合、ルックアップロケールはインバウンドリクエストから取得されるため、認証されていないリモートクライアントは、フレームワークの内部ローカライズドテキストキャッシュをバインドせずに拡張し、ヒープメモリを使い果たす可能性があります。固定ロケールを構成するアプリケーションは影響を受けません。(CVE-2026-73635)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Apache Struts installed on the remote host is 6.0.0 prior to 6.11.0, or 7.0.0 prior to 7.3.0. It is, therefore, affected by multiple denial of service vulnerabilities, as referenced in the S2-072 and S2-074 advisories:

  - When an application is configured to populate actions from a JSON request body, the plugin reads that body     into memory without bounding how much it will accept. A single request can therefore cause the server to     allocate memory in proportion to the size of the request, exhausting the heap and denying service to other     users. The plugin's configurable limit on JSON input length does not bound this read, so lowering that     limit does not reduce exposure. This issue is confined to the JSON plugin, which is an optional component     and not part of the Struts core. Applications that do not use the JSON plugin are not affected, and     neither are applications that use it without enabling JSON request-body handling, which is not enabled by     default. (CVE-2026-73633)

  - Struts resolves type-conversion and validation error messages through localized-text lookups. When no     fixed locale is configured, the lookup locale is taken from the inbound request, so an unauthenticated     remote client can drive the framework's internal localized-text caches to grow without bound and exhaust     heap memory. Applications that configure a fixed locale are not affected. (CVE-2026-73635)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
338651	Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 多個漏洞（S2-072）（S2-074）	Nessus	Misc.	2026/8/21	2026/8/21	high
338651	Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 多个漏洞（S2-072）（S2-074）	Nessus	Misc.	2026/8/21	2026/8/21	high
338651	Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 の複数の脆弱性(S2-072) (S2-074)	Nessus	Misc.	2026/8/21	2026/8/21	high
338651	Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 Multiple Vulnerabilities (S2-072) (S2-074)	Nessus	Misc.	2026/8/21	2026/8/21	high

偵測

搜尋 Plugin

high

high

high

high