CVE-2023-50164

criticalPriorität · beachten · 77EPSS 0.808 · 100. PerzentilExploit · PoCDEEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

15 exploits · PoC

Likely / severe?

80.8% (100th) EPSS

CVSS 9.8 · critical

Is it mine?

12 products

Prüfe deine Angriffsfläche

Who says so?

7 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-22

An attacker can manipulate file upload params to enable paths traversal and under some circumstances this can lead to uploading a malicious file which can be used to perform Remote Code Execution. Users are recommended to upgrade to versions Struts 2.5.33 or Struts 6.3.0.2 or greater to fix this issue.

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

BehobenCisco Identity Services Engine Softwarecisco_csaf
Cisco has released software updates that address this vulnerability.
https://software.cisco.com

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · OSV

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Hsecondary · CVSS-BT (t0sche)

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · Cisco PSIRT US

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-22USCWE-552USCWE-552USCWE-552US

Exploits (15)

Öffentlicher Proof-of-Concept- und Exploit-Code.

betroffene Produkte (12)

Betroffene Produkte und Versionsbereiche.

Oracle Hyperion 11.2.23.0.000alle Versionencert_bundDEcpe:/a:oracle:hyperion:11.2.23.0.000
Oracle Hyperion 11.2.25.0.000alle Versionencert_bundDEcpe:/a:oracle:hyperion:11.2.25.0.000
Cisco Cisco Identity Services Engine Softwarealle Versionencisco_csafUS
Apache Software Foundation Apache Struts≤ 6.0.0 ≤6.3.0.1enisa_euvdEU
Apache Software Foundation Apache Struts≤ 2.0.0 ≤2.5.32enisa_euvdEU
Apache Software Foundation Struts2.0.0 → 2.3.37fstec_bduRU
Apache Software Foundation Struts2.5.0 → 2.5.32fstec_bduRU
Apache Software Foundation Struts6.0.0 → 6.3.0fstec_bduRU
apache struts2.0.0 → 2.5.33nvdUScpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*
apache struts6.0.0 → 6.3.0.2nvdUScpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*
Maven org.apache.struts:struts2-core2.0.0 → 2.5.33osvUSpkg:maven/org.apache.struts/struts2-core
Maven org.apache.struts:struts2-core6.0.0 → 6.3.0.2osvUSpkg:maven/org.apache.struts/struts2-core

Advisories (8)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2023-3069Apache Struts: Schwachstelle ermöglicht CodeausführungDeutsch2023-12-06csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache Struts ausnutzen, um beliebigen Programmcode auszuführen.
WID-SEC-W-2024-0106Oracle Communications: Mehrere SchwachstellenDeutsch2024-01-16csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-0119Oracle MySQL: Mehrere SchwachstellenDeutsch2024-01-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle MySQL ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-0122Oracle Hyperion: Mehrere SchwachstellenDeutsch2024-01-16csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Hyperion ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-0597SAP Security Patch Day – März 2024Deutsch2024-03-11csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in der SAP-Software ausnutzen, um beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, einen Denial-of-Service-Zustand herbeizuführen, vertrauliche Informationen offenzulegen oder Cross-Site-Scripting (XSS)-Angriffe durchzuführen.
WID-SEC-W-2026-2893Oracle Hyperion: Mehrere SchwachstellenDeutsch2026-08-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Hyperion ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
cisco-sa-struts-C2kCMkmTApache Struts Vulnerability Affecting Cisco Products: December 20232023-12-12csaf · cisco_csafUS
On December 7, 2023, the following vulnerability in Apache Struts was disclosed: CVE-2023-50164: An attacker can manipulate file upload params to enable paths traversal and under some circumstances this can lead to uploading a malicious file which can be used to perform Remote Code Execution. For a description of this vulnerability, see the Apache Software Foundation Security Bulletin ["https://cwiki.apache.org/confluence/display/WW/S2-066"].
GHSA-2j39-qcjm-428wApache Struts vulnerable to path traversal2023-12-07ghsa · osvUS
An attacker can manipulate file upload params to enable paths traversal and under some circumstances this can lead to uploading a malicious file which can be used to perform Remote Code Execution. Users are recommended to upgrade to versions Struts 2.5.33 or Struts 6.3.0.2 or greater to fix this issue.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund cisco_csaf nvd osv NVD CVE.org MITRE

veröffentlicht 2023-12-07geändert 2026-06-17

Referenzen (20)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan