製品・ソフトウェアに関する情報

JVN脆弱性詳細

Apache Struts におけるクロスサイトスクリプティングの脆弱性

Title	Apache Struts におけるクロスサイトスクリプティングの脆弱性
Summary	Apache Struts には、クロスサイトスクリプティングの脆弱性が存在するウェブアプリケーションを作り出す問題があります。 Apache Software Foundation が提供する Apache Struts は、Java のウェブアプリケーションを開発するためのソフトウェアフレームワークです。 Apache Struts には、クロスサイトスクリプティングの脆弱性が存在するウェブアプリケーションを作り出す問題があります。この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。報告者: 株式会社ユービーセキュア杉山俊春氏
Possible impacts	ユーザのウェブブラウザ上で任意のスクリプトが実行される可能性があります。
Solution	[アップデートする] 開発者が提供する情報をもとに最新版にアップデートしてください。
Publication Date	Dec. 22, 2011, midnight
Registration Date	Dec. 22, 2011, 12:01 p.m.
Last Update	Dec. 22, 2011, 12:01 p.m.

Affected System

Apache Software Foundation

Apache Struts 2.0.x

Apache Struts 2.2.3 より前のバージョン

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2011-1772	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-1772
National Vulnerability Database (NVD)
2	CVE-2011-1772	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-1772

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-79	https://jvndb.jvn.jp/ja/cwe/CWE-79.html

ベンダー情報

No	Name	URL
Apache Software Foundation
1	S2-006 - Multiple Cross-Site Scripting (XSS) in XWork generated error pages	https://cwiki.apache.org/confluence/display/WW/S2-006
2	Struts 2.3.1 - Download	http://struts.apache.org/download.cgi#struts231

その他

No	Name	URL
JVN
1	JVN#25435092	http://jvn.jp/jp/JVN25435092/index.html

Change Log

No	Changed Details	Date of change
0	[2011年12月22日] 掲載	Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information

CVE-2011-1772

Summary	Multiple cross-site scripting (XSS) vulnerabilities in XWork in Apache Struts 2.x before 2.2.3, and OpenSymphony XWork in OpenSymphony WebWork, allow remote attackers to inject arbitrary web script or HTML via vectors involving (1) an action name, (2) the action attribute of an s:submit element, or (3) the method attribute of an s:submit element.
Publication Date	May 14, 2011, 2:05 a.m.
Registration Date	Jan. 28, 2021, 4:38 p.m.
Last Update	Nov. 21, 2024, 10:27 a.m.

Affected software configurations

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN25435092/index.html
2	http://jvndb.jvn.jp/jvndb/JVNDB-2011-000106
3	http://secureappdev.blogspot.com/2011/05/apache-struts-2-xwork-webwork-reflected.html	Exploit
4	http://secureappdev.blogspot.com/2011/05/Struts_2_XWork_WebWork_XSS_in_error_pages.html
5	http://struts.apache.org/2.2.3/docs/version-notes-223.html
6	http://struts.apache.org/2.x/docs/s2-006.html	Exploit Patch
7	http://www.securityfocus.com/bid/47784	Exploit
8	http://www.ventuneac.net/security-advisories/MVSA-11-006	Exploit
9	http://www.vupen.com/english/advisories/2011/1198	Vendor Advisory
10	https://issues.apache.org/jira/browse/WW-3579	Patch
11	http://jvn.jp/en/jp/JVN25435092/index.html
12	https://issues.apache.org/jira/browse/WW-3579	Patch
13	http://www.vupen.com/english/advisories/2011/1198	Vendor Advisory
14	http://www.ventuneac.net/security-advisories/MVSA-11-006	Exploit
15	http://www.securityfocus.com/bid/47784	Exploit
16	http://struts.apache.org/2.x/docs/s2-006.html	Exploit Patch
17	http://struts.apache.org/2.2.3/docs/version-notes-223.html
18	http://secureappdev.blogspot.com/2011/05/Struts_2_XWork_WebWork_XSS_in_error_pages.html
19	http://secureappdev.blogspot.com/2011/05/apache-struts-2-xwork-webwork-reflected.html	Exploit
20	http://jvndb.jvn.jp/jvndb/JVNDB-2011-000106

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-79	クロスサイト・スクリプティング（XSS）	https://cwe.mitre.org/data/definitions/79.html