Struts 2 RESTに入力チェックの抜け―7.4.0以降への更新と設定変更が必要

JVNは2026年10月29日、Apache Struts 2のRESTプラグインで、特定の入力に認可チェックが適用されない問題を公表しました。対象は7.2.1から7.3.0で、意図していないデータの変更につながる可能性があります。

StrutsはJSONやXMLの入力をアプリケーションのオブジェクトへ取り込む際、@StrutsParameterで許可した項目かを検証します。しかし、未知のキーも受け取るJacksonの@JsonAnySetterを使った経路には、この検証が及びません。注釈を必須にする設定が有効で、REST入力を受けるクラスにany-setterを宣言している場合が対象です。

対応は7.4.0以降への更新に加え、struts.rest.anySetter.requireAnnotations=trueを設定することです。公式文書では互換性のため初期値はfalseとされています。既存のstruts.parameters.requireAnnotationsも有効にし、許可するメソッドやフィールドに@StrutsParameter(allowDynamicKeys = true)を指定します。

すぐ更新できない場合、JVNは該当クラスで@JsonAnySetterを使わない方法、または値の保存前にアプリ側で検証する方法を案内しています。開発者は利用箇所を調べ、許可する入力が通り、許可しない入力が保存されないことを確認してください。今回確認した公表資料にCVSS評価や実悪用の記載はありません。