JVNDB-2026-037470

Apache Software FoundationのApache Strutsにおける言語構文の表現に使用される特殊な要素の不適切な無効化に関する脆弱性

Apache Strutsにおける式言語ステートメントで使用される特殊要素の不適切な無害化（「式言語インジェクション」）の脆弱性です。アプリケーションがレガシーRESTfulアクションマッパーを使用するように設定されている場合、細工されたリクエストによりOGNL式がインジェクトされ、リモートコード実行につながる可能性があります。Struts 7はOGNLホワイトリスト（allowlist）が無効化されている場合にのみ影響を受け、デフォルトでは有効になっています。デフォルトアクションマッパー、restful2マッパー、またはStruts RESTプラグインを使用しているアプリケーションは影響を受けません。この問題は以下のApache Strutsのバージョンに影響を及ぼします：2.0.0から2.3.37まで、2.5.0から2.5.33まで、6.0.0から6.11.0まで、7.0.0から7.3.0までです。ユーザーには、この問題を修正したバージョン6.12.0または7.4.0へアップグレードすることを推奨します。

Apache Software Foundation

• Apache Struts 2.0.0 から 2.3.37
• Apache Struts 2.5.0 から 2.5.33
• Apache Struts 6.0.0 以上 6.12.0 未満
• Apache Struts 7.0.0 以上 7.4.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Struts 2 Wiki : S2-075 - Apache Struts 2 Wiki - Apache Software Foundation

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-104711: Apache Struts: OGNL injection in the legacy RESTful action mapper

1. 言語構文の表現に使用される特殊な要素の不適切な無効化(CWE-917) [その他]

1. CVE-2026-104711

1. National Vulnerability Database (NVD) : CVE-2026-104711

• [2026年10月09日]
    掲載