Un mapper di azioni RESTful legacy è un vecchio meccanismo di routing di Apache Struts che traduce le richieste HTTP in arrivo in azioni del controller usando vecchie convenzioni per URL e metodi. Invece di trattare ogni richiesta allo stesso modo, può cambiare il modo in cui percorsi, parametri e verbi vengono interpretati prima dell'esecuzione del codice dell'applicazione.
Questo è importante perché il routing fa parte del perimetro di fiducia. Se un mapper deprecato è ancora abilitato, può ampliare la superficie di attacco esponendo percorsi alternativi di gestione delle richieste che gli sviluppatori non esaminano più con attenzione. In configurazioni poco vincolate, gli aggressori possono usare quei percorsi per raggiungere azioni inattese, attivare una gestione non sicura delle espressioni o aggirare le assunzioni su quali richieste siano valide. I difensori dovrebbero verificare se il mapper legacy è attivo, rimuoverlo quando possibile, aggiornare il framework e testare la presenza di endpoint non intenzionali. Allowlist rigorose, una convalida stretta dei parametri e restrizioni sulle route aiutano a ridurre il rischio.