接中心技术支持企业绿盟通报，2017年9月5日，Apache Struts发布最新的安全公告，Apache Struts 2.5.x的REST插件存在远程代码执行的高危漏洞，漏洞编号为CVE-2017-9805（S2-052）。漏洞的成因是由于使用XStreamHandler反序列化XStream实例的时候没有任何类型过滤导致远程代码执行。
相关链接如下：
https://cwiki.apache.org/confluence/display/WW/S2-052
影响版本：Struts 2.5 - Struts 2.5.12
修复方案
（一）临时修复方案：1.停止使用REST插件。2.限制服务端扩展类型:
<constant name="struts.action.extension"value="xhtml,,json" />
（二）规避方案：立即升级到Struts 2.5.13。
新版本使用的默认限制策略会导致REST的一些函数停止工作，会对一些业务造成影响，建议使用以下新的接口：
●org.apache.struts2.rest.handler.AllowedClasses
●org.apache.struts2.rest.handler.AllowedClassNames
●org.apache.struts2.rest.handler.XStreamPermissionProvider