CVE-2023-41835

Apache Struts: excessive disk usage

En bref

Sévérité: HIGH 7.5
EPSS: EPSS 7.30 % · centile 94 (2026-10-27)
État: PUBLISHED
Publiée: 2023-12-05
Mise à jour: 2025-11-04
Attribuée par: apache
Statut NVD: Modified

Description

When a Multipart request is performed but some of the fields exceed the maxStringLength limit, the upload files will remain in struts.multipart.saveDir even if the request has been denied. Users are recommended to upgrade to versions Struts 2.5.32 or 6.1.2.2 or Struts 6.3.0.1 or greater, which fixe this issue.

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	CISA-ADP
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	NVD · nvd@nist.gov (Primary)
CVSS 3.1	HIGH 7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H	NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary)

Faiblesses (CWE)

CWE-459

Avis

GHSA-729q-fcgp-r5xh — Apache Struts Improper Control of Dynamically-Managed Code Resources vulnerability

Références européennes

ENISA EUVD · EUVD-2023-3135
GCVE · GCVE-0-2023-41835

Avis du CERT-FR

CERTFR-2023-AVI-1062 — Multiples vulnérabilités dans Juniper Secure Analytics · cert.ssi.gouv.fr
CERTFR-2023-AVI-1055 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2023-AVI-0750 — Vulnérabilité dans Apache Struts · cert.ssi.gouv.fr

Configurations affectées (CPE NVD)

cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:* ≥ 2.0.0 < 2.5.32
cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:* ≥ 6.1.2.1 < 6.3.0.1

Produits affectés

Produit	Versions
Apache Software Foundation · Apache Struts	affected 2.0.0 ≤ 2.5.31 ; affected 6.1.2.1 ≤ 6.3.0

Références

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD