struts2框架XSLTResult本地文件代码执行漏洞
这篇技术博客分享了一个struts2框架中未被公开的本地文件代码执行漏洞。作者通过日常代码审查偶然发现，XSLTResult类在处理用户提交的文件地址时，会将其解析为XSLT文件而不验证扩展名，这可能在特定条件下导致任意代码执行。文章详细讲解了原理：struts2支持多种action返回类型，其中XSLT类型允许接收外部文件路径并执行其中的XSLT内容，而漏洞利用需要同时满足两个条件，因此相对隐蔽。 作者推测，这个漏洞可能早被资深安全研究者发现但未公布，或许是出于某些原因选择不披露。文章以幽默口吻强调这次首发，反映了漏洞发现与披露的复杂性。对读者而言，这不仅是一个技术细节的曝光，更提醒开发者在框架设计中需谨慎处理用户输入和文件解析功能，强化安全验证。通过这个案例，安全人员可以重新评估struts2的潜在风险，并推动更严谨的漏洞管理实践。