CVE-2026-104712: Apache Struts pode gerar resposta desproporcional com parâmetros BigDecimal

O Radar registra a CVE-2026-104712, divulgada em 5 de outubro de 2026 e classificada como de severidade moderada. Segundo o texto, quando um parâmetro de requisição é associado a uma propriedade de precisão arbitrária do tipo java.math.BigDecimal e essa propriedade é depois renderizada pela biblioteca de tags do Struts, o framework pode produzir uma resposta muito maior do que a entrada, caracterizando consumo assimétrico de recursos. As versões indicadas como afetadas são a 2.5.14 até a 2.5.33, a 6.0.0 até a 6.11.0 e a 7.0.0 até a 7.3.0 do Apache Struts. O conteúdo é uma tradução automática de uma publicação do mantenedor no feed oss-sec. Para verificar, consulte o aviso original pelo identificador da CVE no arquivo oss-sec de 2026 e confira a lista de versões corrigidas no site oficial do projeto Apache Struts, já que o texto da fonte não traz as versões de correção. A Rota Nacional não corrige bibliotecas de terceiros.