Apache Struts2 において、Struts1 プラグインを使用するアプリケーションには任意のコードが実行可能な脆弱性が存在します。 開発者が公開している S2-048 において、本脆弱性を含むアプリケーションとして Apache Struts2 に付属しているサンプルアプリケーション showcase が挙げられています。 showcase アプリケーションは Struts1 プラグインを使用して作られており、Struts1 由来のアクションを通じて HTTP リクエストから受け取った値がそのまま出力用のメッセージの一部として使用されてしまうことが問題であると説明されています。 S2-048 https://struts.apache.org/docs/s2-048.html

[ワークアラウンドを実施する] showcase アプリケーションの修正方法を参考に、ActionMessage クラス (のコンストラクタ) への入力処理を適切に行ってください。 詳しくは開発者の提供する情報を参照してください。