概要

在Freemarker标记中使用无意的表达式而不是字符串文字时，可能会发生远程执行代码攻击

问题

当使用表达式文字或强制表达式在Freemarker标签（见下面的示例）和使用请求值可能会导致RCE攻击。

在这两种情况下，属性都使用可写  value属性，在这两种情况下，这都会被Freemarker的表达式所威胁。

解

不要在代码中使用这样的结构，或者使用只读属性来初始化value属性（仅限getter属性）。您可以升级到Apache Struts版本2.5.12或2.3.34，其中包含更多受限制的Freemarker配置，但是删除易受攻击的构造是可取的。

向后兼容性

没有反向不兼容问题。

解决方法

检查您的代码并清除易受攻击的构造。