CVE-2013-225. Struts2 是第二代基於Model-View-Controller (MVC)模型的java企業級web應用框架。它是WebWork和Struts社區合並後的產物
Apache Struts2的action:、redirect:和redirectAction:前綴參數在實現其功能的過程中使用了Ognl表達式，並將用戶通過URL提交的內容拼接入Ognl表達式中，從而造成攻擊者可以通過構造惡意URL來執行任意Java代碼，進而可執行任意命令
redirect:和redirectAction:此兩項前綴為Struts默認開啟功能，目前Struts 2.3.15.1以下版本均存在此漏洞
目前Apache Struts2已經在2.3.15.1中修補了這壹漏洞。強烈建議Apache Struts2用戶檢查您是否受此問題影響，並盡快升級到最新版本
< 參考
1. /
如果頁面重定向到www.yahoo.com，則表明當前系統受此漏洞影響。
驗證表達式解析和命令執行：
mand','goes','here'})).start()}`
Sebug安全建議:
廠商狀態：
廠商已經發布Apache Struts 2.3.15.1以修復此安全漏洞，建議Struts用戶及時升級到最新版本。
廠商安全公告：S2-01. 鏈接：http://struts.apache.org/release/2.3.x/docs/s2-016.html
軟件升級頁面：http://struts.apache.org/download.cgi#struts23151
目前存在漏洞的公司
烏雲上，已經發布了快60個struts的這個漏洞問題，包括騰訊，百度，網易，京東等國內各大互聯網公司。（http://www.wooyun.org/bugs/new_submit/）
解決辦法：
升級到Struts 2.3.15.1（強烈建議）
使用ServletFilter來過濾有問題的參數（臨時替換方案）
參考資料:
這次struts爆出來的漏洞,壹大片的網站受的影響,影響最嚴重的就是電商了.對於struts的漏洞,曾經也寫過struts2代碼執行漏洞,struts2自從使用OGNL表達式的方式後,經常就會報出壹些可怕的漏洞出來,建議那些還是struts的童鞋們,學習壹些其他的框架吧!比如,spring mvc,簡單,好用,高效!