Wysoki Odebrany

CVE-2026-111089

opublikowano: 02.11.2026, 00:17

modyfikacja: 02.11.2026, 00:17

Ocena CVSS

7.6

Wysoki · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Apache Wicket odczytuje teksty z pakietów zasobów aplikacji — zlokalizowaną etykietę, nazwę klasy CSS — i zapisuje część z nich do kodu JavaScript oraz znaczników, które generuje dla komponentu. Teksty te są umieszczane w literałach ciągów JavaScript ujętych w pojedynczy cudzysłów i w wartościach atrybutów w cudzysłowie, bez zmiany znaczenia w tym kontekście, więc tekst zawierający cudzysłów kończy literał lub atrybut, a to, co następuje, jest analizowane jako skrypt lub jako znacznik w źródle aplikacji podczas ładowania strony.

Wpis pakietu zasobów jest tworzony dla aplikacji i nie określa, gdzie platforma go zapisze. Ten sam klucz jest odczytywany przez platformę do tekstu elementu, gdzie Wicket go unika, oraz do kontekstów poniżej, gdzie tak się nie stało. Aby rozbić stronę, wystarczy tekst zawierający apostrof, który jest powszechny w kilku językach; Do uruchomienia skryptu wystarczy tekst pod wpływem innej osoby.

W org.apache.wicket:wicket-core org.apache.wicket.markup.html.form.upload.MultiFileUploadField zapisuje wiadomość org.apache.wicket.mfu.delete w literale ciągu JavaScript, a org.apache.wicket.markup.html.form.Form zapisuje klasę css ukrytych pól do atrybutu class kontenera, który renderuje dla swoich ukrytych pola; w wersjach od 8.0.0 do 8.19.0 i od 9.0.0 do 9.24.0 Form#appendDefaultButtonField zapisuje tę samą klasę css do drugiego kontenera. W org.apache.wicket:wicket-extensions element UploadProgressBar zapisuje tekst UploadProgressBar.starting do literału ciągu JavaScript, FilterForm zapisuje klasę css ukrytych pól w atrybucie class swojego ukrytego znacznika wejściowego, a w wersjach od 9.0.0 do 9.24.0 i od 10.0.0 do 10.11.0 TrapFocusBehavior zapisuje swoją obecną klasę css w literał ciągu JavaScript.

Polityka bezpieczeństwa treści wysyłana domyślnie przez Apache Wicket 9.xi 10.x nie zapobiega przypadkom JavaScript: wygenerowany skrypt jest zapisywany w elemencie skryptu zawierającym wartość jednorazową odpowiedzi, więc wstrzyknięty kod jest częścią skryptu akceptowanego przez zasady. Zapobiega to wstrzykiwaniu wbudowanej procedury obsługi zdarzeń przez przypadki atrybutów.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0, od 9.0.0 do 9.24.0, od 10.0.0 do 10.11.0. Użytkownicy Apache Wicket 7.x lub starszego, które nie są już obsługiwane, powinni dokonać aktualizacji do obsługiwanej wersji. Użytkownikom zaleca się aktualizację do wersji 8.20.0, 9.25.0 lub 10.12.0, która rozwiązuje problem.

Apache Wicket reads texts from the application's resource bundles — a localized label, a css class name — and writes some of them into the JavaScript and the markup it generates for a component. Those texts are placed inside single-quoted JavaScript string literals and inside quoted attribute values without being escaped for that context, so a text containing a quote ends the literal or the attribute, and what follows is parsed as script or as markup in the application's origin when the page loads.

A resource bundle entry is authored for the application and does not say where the framework will write it. The same key is read by the framework into element text, where Wicket escapes it, and into the contexts below, where it did not. A text containing an apostrophe, which is ordinary in several languages, is enough to break the page; a text under the influence of another party is enough to run script.

In org.apache.wicket:wicket-core, org.apache.wicket.markup.html.form.upload.MultiFileUploadField writes the org.apache.wicket.mfu.delete message into a JavaScript string literal, and org.apache.wicket.markup.html.form.Form writes the hidden-fields css class into the class attribute of the container it renders for its hidden fields; on 8.0.0 through 8.19.0 and 9.0.0 through 9.24.0 Form#appendDefaultButtonField writes the same css class into a second container. In org.apache.wicket:wicket-extensions, UploadProgressBar writes its UploadProgressBar.starting text into a JavaScript string literal, FilterForm writes the hidden-fields css class into the class attribute of its hidden input markup, and on 9.0.0 through 9.24.0 and 10.0.0 through 10.11.0 TrapFocusBehavior writes its current css class into a JavaScript string literal.

The Content-Security-Policy that Apache Wicket 9.x and 10.x send by default does not prevent the JavaScript cases: the generated script is written into a script element carrying the per-response nonce, so the injected code is part of a script the policy admits. It does prevent an inline event handler injected through the attribute cases.

This issue affects Apache Wicket: from 8.0.0 through 8.19.0, from 9.0.0 through 9.24.0, from 10.0.0 through 10.11.0. Users of Apache Wicket 7.x or older, which are no longer supported, should upgrade to a supported version. Users are recommended to upgrade to version 8.20.0, 9.25.0 or 10.12.0, which fix the issue.

>_ Słabości (CWE)

CWE-79

>_ Referencje

https://lists.apache.org/thread.html/xyp4sm5mm7s618fktstb22577qxbmqw8

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve