Struts2-053漏洞

Posted 2020-10-16

受影响版本：

Struts 2.0.1 – Sturts 2.3.33

Struts 2.5 – Struts 2.5.10

漏洞复现：

 附上工具：链接：https://pan.baidu.com/s/1geE9HIF 密码：cw35

漏洞修复：

升级到Apache Struts2.5.12或2.3.34
Freemarker标签内容不要通过Request方式获取
使用只读属性来初始化value属性（仅限getter属性）
不要使用如下结构

<@s.hidden name=”redirectUri” value=redirectUri />

<@s.hidden name=”redirectUri” value=”${redirectUri}” />