CVE-2016-3081: struts 2.0.0, 2.0.1, 2.0.2 (+53 more affected versions); +2 more affected products

Affected technology

struts · 2.0.0
apache

struts · 2.0.1
apache

struts · 2.0.2
apache

struts · 2.0.3
apache

struts · 2.0.4
apache

struts · 2.0.5
apache

struts · 2.0.6
apache

struts · 2.0.7
apache

struts · 2.0.8
apache

struts · 2.0.9
apache

struts · 2.0.10
apache

struts · 2.0.11
apache

struts · 2.0.11.1
apache

struts · 2.0.11.2
apache

struts · 2.0.12
apache

struts · 2.0.13
apache

struts · 2.0.14
apache

struts · 2.1.0
apache

struts · 2.1.1
apache

struts · 2.1.2
apache

struts · 2.1.3
apache

struts · 2.1.4
apache

struts · 2.1.5
apache

struts · 2.1.6
apache

struts · 2.1.8
apache

struts · 2.1.8.1
apache

struts · 2.2.1
apache

struts · 2.2.1.1
apache

struts · 2.2.3
apache

struts · 2.2.3.1
apache

struts · 2.3.1
apache

struts · 2.3.1.1
apache

struts · 2.3.1.2
apache

struts · 2.3.3
apache

struts · 2.3.4
apache

struts · 2.3.4.1
apache

struts · 2.3.7
apache

struts · 2.3.8
apache

struts · 2.3.12
apache

struts · 2.3.14
apache

struts · 2.3.14.1
apache

struts · 2.3.14.2
apache

struts · 2.3.14.3
apache

struts · 2.3.15
apache

struts · 2.3.15.1
apache

struts · 2.3.15.2
apache

struts · 2.3.15.3
apache

struts · 2.3.16
apache

struts · 2.3.16.1
apache

struts · 2.3.16.2
apache

struts · 2.3.16.3
apache

struts · 2.3.20
apache

struts · 2.3.20.1
apache

struts · 2.3.24
apache

struts · 2.3.24.1
apache

struts · 2.3.28
apache

siebel e-billing · 7.1
oracle

n/a · n/a
Vendor not specified by the source

Description’s affected range: 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled,

Component: Not specified by the source

Attack conditions (Source advisory, CVSS 3.1): Network (remote) · No privileges required · No user interaction required

What an attacker can do

The source says apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions. Source advisory’s CVSS 3.1 assessment (base score 8.1/10) rates confidentiality, integrity and availability impact as high.