CVE-2025-68493

Faille XXE dans Apache Struts 2 : Risques et Solutions

Une vulnérabilité de type Injection d’Entité Externe XML (XXE) a été identifiée dans le composant XWork d’Apache Struts 2. Cette faille, référencée sous la désignation CVE-2025-68493, provient d’une validation inadéquate des configurations XML lors de leur traitement par XWork.

Points clés :

• Nature de la vulnérabilité : Injection d’Entité Externe XML (XXE).
• Composant affecté : XWork au sein d’Apache Struts 2.
• Cause : Absence de validation appropriée des entités externes dans les fichiers XML.

Vulnérabilités potentielles :

• Divulgation d’informations sensibles.
• Attaques par déni de service (DoS).
• Usurpation de requête côté serveur (SSRF).

Versions affectées :

• Apache Struts 2.0.0 à 2.3.37 (fin de vie)
• Apache Struts 2.5.0 à 2.5.33 (fin de vie)
• Apache Struts 6.0.0 à 6.1.0

Recommandations :

Il est fortement conseillé de migrer vers Apache Struts 6.1.1 ou une version ultérieure pour remédier à cette faille de sécurité.

Source