Segundo o aviso publicado em 5 de outubro de 2026 por Lukasz Lenart na lista oss-sec, a falha está identificada como CVE-2026-104713 e tem severidade importante. O plugin REST do Apache Struts lê o corpo de uma requisição na memória sem qualquer limite para o volume aceito, de modo que uma única requisição pode fazer o servidor alocar memória de forma excessiva. O aviso lista como afetadas as versões 2.1.8 a 2.3.37, 2.5.0 a 2.5.33, 6.0.0 a 6.11.0 e 7.0.0 a 7.3.0 do Apache Struts. O texto recebido é uma tradução automática e, nesta cópia, não informa versão corrigida; consulte o aviso original e a documentação oficial do projeto.
Para verificar se sua organização usa algum desses intervalos, faça o inventário das aplicações Java, confira a versão do Struts e a presença do plugin REST. Se a aplicação estiver exposta, avalie limites de tamanho de requisição na camada de entrada, como balanceador ou proxy reverso, até que a correção oficial seja aplicada. Essas são medidas gerais de defesa e não dependem da plataforma Rota Nacional.
Relevância para a Rota Nacional: a plataforma não corrige nem protege aplicações Struts, e este item não descreve nenhum recurso da Rota. Se você usar IA para estudar o aviso ou redigir um plano de resposta, não cole logs, configurações, credenciais ou dados pessoais de usuários no prompt. Remova ou substitua esses dados antes do envio. Na Rota, a detecção de dados pessoais ocorre antes de qualquer modelo rodar, e a política da organização pode aplicar marcadores, remoção ou bloqueio, mas isso não substitui a higiene de dados do seu lado.