Sploitus

Exploit for CVE-2024-53677

kitploit · 2026-08-27

Exploit Code

MARKDOWN24 lines
## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-EQSTLAB-CVE-2024-53677
Этот пост — исследовательская статья, опубликованная EQSTLab.

# CVE-2024-53677

★ CVE-2024-53677 Неограниченная загрузка файла с опасным типом и RCE PoC ★

## Настройка лаборатории

root@kitploit:~
    
    
    cd docker
    docker build --ulimit nofile=122880:122880 -m 3G -t cve-2024-53677 .
    docker run -p 8080:8080 --ulimit nofile=122880:122880 -m 3G --rm -it --name cve-2024-53677 cve-2024-53677
    

## Хронология

**11 дек** : Загружен PoC загрузки файла для CVE-2024-53677

## Описание

CVE-2024-53677 : логика загрузки файлов в Apache Struts содержит ошибку. Злоумышленник может манипулировать параметрами загрузки файлов, чтобы осуществить обход пути (path traversal), и в некоторых случаях это может привести к загрузке вредоносного файла, который можно использовать для выполнения удалённого кода (Remote Code Execution). Проблема затрагивает Apache Struts: с 2.0.0 до 6.4.0. Пользователям рекомендуется обновиться как минимум до версии 6.4.0 и перейти на новый механизм загрузки файлов https://struts.apache.org/core-developers/file-upload . Если вы не используете старую логику загрузки файлов на основе FileuploadInterceptor, ваше приложение в безопасности. Подробнее можно узнать по ссылке https://cwiki.apache.org/confluence/display/WW/S2-067.