CVE-2016-3081
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.
El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.
- CTIR Gov · ALERTA 92/2026 · 09 oct 2026Vulnerabilidade crítica que afeta o Struts.leer en gov.br ↗
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Apache Struts 2 permite que atacantes ejecuten código malicioso en servidores cuando la funcionalidad Dynamic Method Invocation está habilitada. Un atacante puede explotar cómo la aplicación procesa llamadas de métodos para ejecutar comandos arbitrarios.
El CVE-2016-3081 afecta Apache Struts 2 en versiones 2.3.19–2.3.20.2, 2.3.21–2.3.24.1 y 2.3.25–2.3.28 con Dynamic Method Invocation (DMI) activo. La vulnerabilidad resulta de la validación inadecuada del prefijo 'method:' en expresiones OGNL, permitiendo que atacantes remotos sin autenticación encadenen expresiones y logren ejecución arbitraria de código en el servidor. Se requiere solo acceso a la red de una aplicación Struts vulnerable con DMI activo.