· CVE-2016-3081

Apache Struts Command Injection

8,1 CVSS · hochAktiv ausgenutzt

Command Injection in Apache Struts. Über das Netzwerk angreifbar, ohne Anmeldung, ohne Zutun eines Nutzers. CVSS 8,1 (hoch). Laut CISA wird die Lücke bereits ausgenutzt. Behoben in 2.3.20.3, 2.3.24.3 und 2.3.28.1.

Sicherheitshinweis des Herstellers

struts.apache.org · Maßgeblich sind die Angaben des Herstellers.

Auf einen Blick

CVE
CVE-2016-3081
Produkt
Apache Struts
Hersteller
Apache Software Foundation
Betroffene Versionen
  • ≥ 2.3.20, < 2.3.20.3
  • ≥ 2.3.21, < 2.3.24.3
  • ≥ 2.3.25, < 2.3.28.1
laut NVD
Behoben in
2.3.20.3, 2.3.24.3, 2.3.28.1
CVSS
8,1 (hoch)
CVSS 3.1, bewertet von der NVD
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Aktiv ausgenutzt
Ja, laut CISA (im KEV-Katalog seit 8. Oktober 2026)
Schwachstellentyp
CWE-77 (Command Injection)
Veröffentlicht
Zuletzt geändert

Was zu tun ist

  1. Auf eine behobene Version aktualisieren: 2.3.20.3, 2.3.24.3 und 2.3.28.1 oder neuer, je nach eingesetztem Versionszweig.
  2. Den Bericht des Herstellers lesen: Er nennt die genauen Versionen und, falls vorhanden, Workarounds für den Fall, dass ein Update nicht sofort möglich ist.
  3. Weil die Lücke bereits ausgenutzt wird: nach dem Update prüfen, ob das System vorher kompromittiert wurde.
  4. Auch Test-, Staging- und vergessene Installationen derselben Software prüfen.
Sicherheitshinweis des Herstellers ↗

Originalbeschreibung

Englisch, aus dem CVE-Eintrag. Die Zusammenfassung oben ist aus den strukturierten Daten erstellt.

Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.

Bezeichnung bei CISA: Apache Struts Command Injection Vulnerability

Offizielle Referenzen

Quellen

Daten aus der NVD (NIST) und dem KEV-Katalog der CISA, abgerufen am 1. November 2026. Diese Seite nutzt Daten der NVD-API, ist aber weder von der NVD gebilligt noch zertifiziert. Alle Angaben ohne Gewähr.

Eintrag in der NVD ↗Eintrag bei CVE.org ↗KEV-Katalog der CISA ↗

Welche Software-Versionen gibt Ihre Website nach außen preis? Der kostenlose Security-Check prüft es.

Kostenlos prüfen