· CVE-2016-3081

Apache Struts Injection de commandes

8,1 CVSS · élevéeExploitée

Injection de commandes dans Apache Struts. Exploitable à distance par le réseau, sans authentification, sans action de l’utilisateur. CVSS 8,1 (gravité élevée). Selon la CISA, elle est déjà exploitée. Corrigée dans 2.3.20.3, 2.3.24.3 et 2.3.28.1.

Avis de sécurité de l’éditeur

struts.apache.org · Les informations de l’éditeur font foi.

En bref

CVE
CVE-2016-3081
Produit
Apache Struts
Éditeur
Apache Software Foundation
Versions concernées
  • ≥ 2.3.20, < 2.3.20.3
  • ≥ 2.3.21, < 2.3.24.3
  • ≥ 2.3.25, < 2.3.28.1
selon la NVD
Corrigé dans
2.3.20.3, 2.3.24.3, 2.3.28.1
CVSS
8,1 (élevée)
CVSS 3.1, évalué par la NVD
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitée
Oui, selon la CISA (dans le catalogue KEV depuis le 8 octobre 2026)
Type de faille
CWE-77 (Injection de commandes)
Publiée le
Modifiée le

Que faire ?

  1. Mettre à jour vers une version corrigée : 2.3.20.3, 2.3.24.3 et 2.3.28.1 ou plus récente, selon la branche utilisée.
  2. Lire l’avis de l’éditeur : il précise les versions exactes et, le cas échéant, des contournements si la mise à jour ne peut pas être faite tout de suite.
  3. La faille étant déjà exploitée : après la mise à jour, vérifier que le système n’a pas été compromis auparavant.
  4. Vérifier aussi les installations de test, de préproduction et celles oubliées du même logiciel.
Avis de sécurité de l’éditeur ↗

Description originale

En anglais, issue de la fiche CVE. Le résumé ci-dessus est établi à partir des données structurées.

Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.

Intitulé à la CISA : Apache Struts Command Injection Vulnerability

Références officielles

Sources

Données de la NVD (NIST) et du catalogue KEV de la CISA, récupérées le 1er novembre 2026. Ce site utilise des données de l’API de la NVD sans être approuvé ni certifié par la NVD. Informations fournies sans garantie.

Fiche NVD ↗Fiche CVE.org ↗Catalogue KEV de la CISA ↗

Quelles versions de logiciels votre site laisse-t-il voir ? Le test de sécurité gratuit le vérifie.

Tester gratuitement