Średni Odebrany

CVE-2026-82115

opublikowano: 01.11.2026, 23:17

modyfikacja: 01.11.2026, 23:17

Ocena CVSS

6.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Brak autoryzacji w Apache Wicket.

org.apache.wicket.protocol.ws.api.WebSocketMessageBroadcastHandler, moduł obsługi żądań, którego natywna obsługa protokołu WebSocket firmy Wicket używa do dostarczania przychodzącej ramki, rozpoznaje współdzielony zasób nazwany na podstawie parametru uzgadniania klienta i wywołuje bezpośrednio na nim funkcję WebSocketResource#onPayload() bez konsultacji z IAuthorizationStrategy#isResourceAuthorized(). Ta metoda ma jeden punkt wymuszania w strukturze, org.apache.wicket.request.handler.resource.ResourceRequestHandler, przez który nie przechodzi transport WebSocket, a funkcja WebSocketResource#respond() jest ostateczna i pusta. Dlatego żadna trasa do WebSocketResource nie pyta skonfigurowanej strategii autoryzacji, czy osoba wywołująca może z niej korzystać, a adnotacja @AuthorizeResource w takiej klasie nie ma żadnego wpływu.

Osoba wywołująca potrzebuje powiązanej sesji Wicket i nazwy zasobu. Nazwa nie jest tajemnicą: Wicket zapisuje ją na stronie otwierającej połączenie. Żadna strona aplikacji nie jest w inny sposób zaangażowana, ponieważ żądanie nadania nazwy zasobowi jest obsługiwane ze stroną jednorazową. W ten sposób osiągane są wszystkie wywołania zwrotne zasobu, w tym przeciążenia onConnect() i obu onMessage(), a to, co wywołanie zwrotne przesyła z powrotem przez WebSocketRequestHandler, trafia do własnego połączenia wywołującego.

Aplikacja ma na to wpływ, gdy rejestruje zasób WebSocketResource jako zasób udostępniony i opiera się na strategii autoryzacji, aby go ograniczyć. Osoba dzwoniąca zyskuje to, co wywołania zwrotne tego zasobu zrobią z wybranym przez dzwoniącego komunikatem tekstowym lub binarnym. Połączenie jest rejestrowane w sesji własnej dzwoniącego, więc nie daje dostępu do połączenia innego użytkownika.

Aby obejść ten problem, odrzuć nieautoryzowane połączenia z filtrem IWebSocketConnectionFilter zarejestrowanym za pomocą WebSocketSettings#setConnectionFilter() lub powtórz sprawdzanie autoryzacji na początku każdego wywołania zwrotnego.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0, od 9.0.0 do 9.24.0, od 10.0.0 do 10.11.0. Dotyczy to również starszych, nieobsługiwanych wersji, począwszy od wersji 7.0.0. Użytkownikom zaleca się aktualizację do wersji 8.20.0, 9.25.0 lub 10.12.0, która rozwiązuje problem.

Missing authorization in Apache Wicket.

org.apache.wicket.protocol.ws.api.WebSocketMessageBroadcastHandler, the request handler Wicket's native WebSocket support uses to deliver an incoming frame, resolves the shared resource named by the client's handshake parameter and calls WebSocketResource#onPayload() on it directly, without consulting IAuthorizationStrategy#isResourceAuthorized(). That method has a single enforcement point in the framework, org.apache.wicket.request.handler.resource.ResourceRequestHandler, which the WebSocket transport does not pass through, and WebSocketResource#respond() is final and empty. No route to a WebSocketResource therefore asks the configured authorization strategy whether the caller may use it, and an @AuthorizeResource annotation on such a class has no effect.

A caller needs a bound Wicket session and the name of the resource. The name is not a secret: Wicket writes it into the page that opens the connection. No page of the application is otherwise involved, because a request naming a resource is served with a throwaway page. All of the resource's callbacks are reached this way, including onConnect() and both onMessage() overloads, and what a callback pushes back through WebSocketRequestHandler goes to the caller's own connection.

An application is affected where it registers a WebSocketResource as a shared resource and relies on the authorization strategy to restrict it. What the caller gains is whatever that resource's callbacks do with a text or binary message of the caller's choosing. The connection is registered under the caller's own session, so it gives no access to another user's connection.

As a workaround, reject unauthorized connections with an IWebSocketConnectionFilter registered through WebSocketSettings#setConnectionFilter(), or repeat the authorization check at the start of each callback.

This issue affects Apache Wicket: from 8.0.0 through 8.19.0, from 9.0.0 through 9.24.0, from 10.0.0 through 10.11.0. Older, unsupported releases from 7.0.0 onwards are also affected. Users are recommended to upgrade to version 8.20.0, 9.25.0 or 10.12.0, which fix the issue.

>_ Słabości (CWE)

CWE-862

>_ Referencje

https://lists.apache.org/thread.html/0lj9og7vp22ps77nrwdj42f64cfb9g4c

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve