Struts version 2.3 - 2.3.34
Struts version 2.5 - 2.5.16

Struts version 2.3.35
Struts version 2.5.17

北京时间8月22日13时，Apache官方发布通告公布了Struts2中一个远程代码执行漏洞（CVE-2018-11776）。该漏洞在两种情况下存在，第一，在xml配置中未设置namespace值，且上层动作配置（upper action(s) configurations）中未设置或用通配符namespace值。第二，使用未设置 value和action值的url标签，且上层动作配置（upper action(s) configurations）中未设置或用通配符namespace值。
详细信息可参考：https://cwiki.apache.org/confluence/display/WW/S2-057

官方已在最新版本中修复了此漏洞，请用户尽快将struts升级至官方修复版本，2.3.*的用户需升级至2.3.35；2.5.*的用户需升级至2.5.17。开发人员可通过配置Maven或Gradle的方式对应用升级并编译发布，也可手动下载最新Struts框架进行替换。
Maven配置

<!-- https://mvnrepository.com/artifact/org.apache.struts/struts2-core -->
<dependency>
    <groupId>org.apache.struts</groupId>
    <artifactId>struts2-core</artifactId>
    <version>2.5.17</version>
</dependency>
                

// https://mvnrepository.com/artifact/org.apache.struts/struts2-core
compile group: 'org.apache.struts', name: 'struts2-core', version: '2.5.17'
                

<package name="user" namespace="/user" extends="struts-default">
    <action name="login">
    </action>
</package>