CVE-2020-17530

highPriorität · handeln · 90OT-Risiko · kritischKEV · ausgenutztEPSS 0.963 · 100. PerzentilExploit · waffenfähigDEEURUUS

grimoire priorityP0 · Act now

Exploitable?

Yes · in the wild

CISA KEV · 13 exploits · waffenfähig

Likely / severe?

96.3% (100th) EPSS

CVSS 7.5 · high

Is it mine?

35 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

hinzugefügt 2021-11-03beheben bis 2022-05-03

erforderliche Maßnahme Apply updates per vendor instructions.

EPSS · bewertet 2026-10-26

Apache Struts Remote Code Execution Vulnerability

Forced OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution. Affected software : Apache Struts 2.0.0 - Struts 2.5.25.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · high–critical · 7.5–9.8

v2.07.5highAV:N/AC:L/Au:N/C:P/I:P/A:Pprimary · NVD / NIST USAusnutzbarkeit 10 · Auswirkung 6.4

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HsecondaryAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Hsecondary · OSV

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Hsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: active · Automatable: yes · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-917USprimärCWE-917USCWE-917USCWE-94USCWE-94US

ATT&CK-Techniken

ATT&CK-Techniken, die dies ermöglicht oder abbildet.

Exploits (13)

Öffentlicher Proof-of-Concept- und Exploit-Code.

exploit/multi/http/struts2_multi_eval_ognlApache Struts 2 Forced Multi OGNL Evaluationwaffenfähig · metasploit
Al1ex/CVE-2020-17530S2-061 CVE-2020-17530PoC · poc_in_github
CyborgSecurity/CVE-2020-17530CyborgSecurity/CVE-2020-17530PoC · poc_in_github
fatkz/CVE-2020-17530fatkz/CVE-2020-17530PoC · poc_in_github
fengziHK/CVE-2020-17530-strust2-061CVE-2020-17530-strust2-061PoC · poc_in_github
ka1n4t/CVE-2020-17530ka1n4t/CVE-2020-17530PoC · poc_in_github

betroffene Produkte (35)

Betroffene Produkte und Versionsbereiche.

Amazon Linux 2alle Versionencert_bundDEcpe:/o:amazon:linux_2:-
Gentoo Linuxalle Versionencert_bundDEcpe:/o:gentoo:linux:-
Juniper Contrail Service Orchestrationalle Versionencert_bundDEcpe:/a:juniper:contrail_service_orchestration:-
Open Source Arch Linuxalle Versionencert_bundDEcpe:/o:archlinux:archlinux:-
Oracle Linuxalle Versionencert_bundDEcpe:/o:oracle:linux:-
Oracle MySQL <= 5.7.33alle Versionencert_bundDEcpe:/a:oracle:mysql:5.7.33
Oracle MySQL <= 8.0.23alle Versionencert_bundDEcpe:/a:oracle:mysql:8.0.23
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
SUSE Linuxalle Versionencert_bundDEcpe:/o:suse:suse_linux:-
Ubuntu Linuxalle Versionencert_bundDEcpe:/o:canonical:ubuntu_linux:-
Apache Software Foundation Apache Struts≤ Struts 2.0.0 - Struts 2.5.25enisa_euvdEU
Apache Software Foundation Struts2.0.0 → 2.5.25fstec_bduRU
Oracle Corp. Business Intelligence Enterprise Edition≤ 12.2.1.3.0fstec_bduRU
Oracle Corp. Business Intelligence Enterprise Edition≤ 12.2.1.4.0fstec_bduRU
Oracle Corp. Hospitality Opera 5≤ 5.6fstec_bduRU
Oracle Corp. MySQL Enterprise Monitor≤ 8.0.23fstec_bduRU
Oracle Corp. Oracle Communications Policy Management≤ 12.5.0fstec_bduRU
Oracle Corp. Oracle Communications Pricing Design Center≤ 12.0.0.3.0fstec_bduRU
Oracle Corp. Oracle Financial Services Data Integration Hub≤ 8.0.3fstec_bduRU
Oracle Corp. Oracle Financial Services Data Integration Hub≤ 8.0.6fstec_bduRU

20 von 35 angezeigt

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2023-0065Oracle MySQL: Mehrere SchwachstellenDeutsch2021-04-20csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle MySQL ausnutzen, um die Verfügbarkeit, Vertraulichkeit und Integrität zu gefährden.
GHSA-jc35-q369-45pvRemote code execution in Apache Struts2022-02-09ghsa · osvUS
Forced OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund osv NVD CVE.org MITRE

veröffentlicht 2020-12-11geändert 2026-06-17

verwandt (254)

Verwandte Einträge.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2026-41901US	—OT kritisch	0.43% (37th)	Exploit	2026-05-12
Thymeleaf is a server-side Java template engine for web and standalone environments. Prior to 3.1.5.RELEASE, a security bypass vulnerability exists in the expression execution mech…
CVE-2026-40478US	—OT kritisch	1.10% (65th)	—	2026-04-17
Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the the expression…
CVE-2026-40477US	—OT kritisch	0.85% (58th)	Exploit	2026-04-17
Thymeleaf is a server-side Java template engine for web and standalone environments. Versions 3.1.3.RELEASE and prior contain a security bypass vulnerability in the expression exec…
CVE-2022-26134US	critical9.8OT kritisch	100.0% (100th)	KEV	2022-06-03
In affected versions of Confluence Server and Data Center, an OGNL injection vulnerability exists that would allow an unauthenticated attacker to execute arbitrary code on a Conflu…
CVE-2022-22963US	critical9.8OT kritisch	99.9% (100th)	KEV	2022-04-01
In Spring Cloud Function versions 3.1.6, 3.2.2 and older unsupported versions, when using routing functionality it is possible for a user to provide a specially crafted SpEL as a r…

+249 weitere

Referenzen (53)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan