Struts 操作名称通配符匹配在强化扫描中存在 OGNL 安全漏洞

Question

默认操作在 struts.xml 中定义如下。强化扫描抱怨"*"匹配说 -"在 Struts 2 操作名称中使用通配符 (*( 允许将操作名称评估为 OGNL 表达式，从而有效地允许攻击者修改系统变量(如 Session(或在服务器上执行任意命令。">

<action name="*" class="XXXX.XXXXX.XXXX.GenericAction">
    <result>{1}.jsp</result>
    <interceptor-ref name="defaultStacki18n" />
</action>

如何解决此问题？

Answer 1

这在 Struts 2.3.14.3 中已解决(见 https://struts.apache.org/docs/s2-015.html(。

解决方案是升级并修复您的白名单。

---

稍微相关：将其粘贴到Google中会在结果的第一页上返回此内容;有时只需搜索网络即可回答您的问题。