Semmle 安全研究员 Man Yue Mo 近日披露了一个存在于流行的 Apache Struts Web 应用框架中的远程执行代码漏洞，可能允许远程攻击者在受影响的服务器上执行恶意代码。该漏洞编号为 CVE-2018-11776 ，被归类为高危漏洞，是由于在某些配置下对 Struts 框架核心中用户提供的不可信输入的验证不充分而产生。它会在两种情况下容易被触发：

Struts 配置中的 alwaysSelectFullNamespace 标志设置为 true 。

Struts 配置文件包含 “action” 或 “url” 标记，该标记未指定可选的 namespace 属性或指定通配符命名空间。