In Apache Struts Dynamic Method Invocation (DMI), method: è un pattern di richiesta che può indirizzare il framework a chiamare un metodo di azione specifico invece del gestore predefinito. Fa parte della logica di dispatch dei metodi di Struts, quindi modifica il modo in cui una richiesta in arrivo viene instradata sul server.
Questo è importante perché qualsiasi funzionalità che consenta all'input del client di influenzare la selezione del metodo amplia la superficie di attacco. In configurazioni Struts vulnerabili o legacy, richieste method: costruite ad arte possono raggiungere percorsi di codice non previsti e, nelle versioni interessate, contribuire all'esecuzione di codice remoto. I difensori dovrebbero disabilitare DMI a meno che non sia davvero necessario, limitare i metodi consentiti e analizzare i log alla ricerca di pattern method: insoliti come indizio di hunting. Sulle applicazioni Java esposte, combinare i controlli di versione con la revisione della configurazione è il modo più sicuro per confermare se il pattern sia pericoloso.