CVE-2026-104712— Apache Struts 大数请求参数渲染不当导致的拒绝服务漏洞
一分钟漏洞结论
影响对象
Apache Software Foundation Apache Struts
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Apache Struts 存在非对称资源消耗（放大）漏洞。当请求参数被绑定到任意精度小数（ ）属性，并且该属性随后通过 Struts 标签库进行渲染时，框架可能会生成比请求大多个数量级的响应。这使得未经身份验证的远程攻击者能够通过持续的低流量请求，耗尽服务器的 CPU 资源和 outbound 网络带宽。 对于未将请求参数绑定到 属性，或从未通过 Struts 标签库渲染此类属性的应用程序，不受此漏洞影响。 此漏洞影响以下 Apache Struts 版本： 2.5.14 至 2.5.33 6.0.0 至 6.1
可能的 ATT&CK 技术 1 AI
T1496 · Resource Hijacking影响版本矩阵 3
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Apache Software Foundation | Apache Struts | 2.5.14≤ 2.5.33 |
affected |
6.0.0≤ 6.11.0 |
affected | ||
7.0.0≤ 7.3.0 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-104712 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Apache Struts: Disproportionate response size when rendering BigDecimal request parameters
来源: CVE Program / CVE List V5
Vulnerability Description
Asymmetric resource consumption (amplification) vulnerability in Apache Struts. When a request parameter is bound to an arbitrary-precision decimal (java.math.BigDecimal) property that is then rendered through the Struts tag library, the framework can produce a response many orders of magnitude larger than the request, allowing an unauthenticated remote attacker to exhaust server CPU and outbound network capacity with sustained low-volume traffic. Applications that do not bind request parameters to BigDecimal properties, or never render such a property through the Struts tag library, are not affected.
This issue affects Apache Struts: from 2.5.14 through 2.5.33, from 6.0.0 through 6.11.0, from 7.0.0 through 7.3.0.
Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes the issue.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
不对称的资源消耗(放大攻击)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Apache Software Foundation | Apache Struts | 2.5.14 ~ 2.5.33 | - |
|
二、漏洞 CVE-2026-104712 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-104712 的情报信息
请登录查看更多情报信息。
CVE-2026-104712 其他参考 (1)
-
https://cwiki.apache.org/confluence/display/WW/S2-076 vendor-advisory
同批安全公告 · Apache Software Foundation · 2026-10-05 · 共 4 条
| CVE-2026-104714 | Apache Struts 共享消息格式化器泄露日期时间 | |
| CVE-2026-104713 | Apache Struts REST插件无界请求体读取漏洞 | |
| CVE-2026-104711 | Apache Struts RESTful 映射器 OGNL 注入漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-104712
暂无评论