Średni Odebrany

CVE-2026-82557

opublikowano: 01.11.2026, 23:17

modyfikacja: 01.11.2026, 23:17

Ocena CVSS

6.9

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Brak autoryzacji w Apache Wicket.

org.apache.wicket.markup.html.form.Form rozpoznaje komponent, który przesłał formularz, na podstawie parametrów żądania w Form#onRequest() i przekazuje wynik bezpośrednio do Form#onFormSubmitted(IFormSubmitter). Sprawdzanie, czy komponent wysyłający jest widoczny i włączony w swojej hierarchii, jest przeprowadzane tylko wtedy, gdy funkcja onFormSubmitted() nie ma podanego obiektu przesyłającego, więc nie jest już uruchamiana w przypadku zwykłego przesyłania formularza i jest to jedyny moment, w którym Wicket sprawdza, czy aplikacja faktycznie zaoferowała nazwaną kontrolę wywołującemu. Form#findSubmitter() dopasowuje samą nazwę parametru żądania i nie stosuje żadnego filtra widoczności ani włączania, a procedura obsługi żądania sprawdza tylko sam formularz, który jest widoczny i włączony. Żądanie podające nazwę przycisku przesyłania, który aplikacja wstrzymała, dociera zatem do funkcji onSubmit() i onAfterSubmit() tego przycisku oraz jego onError() w przypadku niepowodzenia sprawdzania poprawności formularza; gdzie przycisk ustawia setDefaultFormProcessing(false), osiąga onSubmit() i onAfterSubmit() bez sprawdzania poprawności formularza.

Na aplikację ma to wpływ, gdy komponent przesyłania formularza, taki jak przycisk lub SubmitLink, jest niedostępny dla obiektu wywołującego, podczas gdy otaczający formularz pozostaje dostępny. Sposób, w jaki komponent stał się niedostępny, nie ma znaczenia: własny setVisible(false), setEnabled(false) lub setVisibilityAllowed(false), przesłonięta funkcja isVisible() lub isEnabled(), niewidoczny lub wyłączony kontener nadrzędny w dowolnym miejscu nad nim oraz odmowa RENDER lub ENABLE z IAuthorizationStrategy — na przykład poprzez MetaDataRoleAuthorizationStrategy lub Adnotacja AuthorizeAction — wszystkie są wymuszane przez tę jedną kontrolę i wszystkie są pomijane. Komponent renderowany jako wyłączony ma własną nazwę wejściową w znacznikach, które obiekt wywołujący już posiada. Nie ma to wpływu na zgłoszenia dokonane za pośrednictwem AjaxFormSubmitBehavior, a zatem za pośrednictwem AjaxButton i AjaxSubmitLink: są one wywoływane jako zachowanie samego przycisku, wywołanie zachowania jest autoryzowane względem tego przycisku, a wywołania zwrotne tych dwóch klas inne niż Ajax nic nie dają. Ograniczenia zastosowane do formularza lub strony, a nie do komponentu przesyłającego, pozostają niezmienione.

Nie ma to wpływu na linie wersji 9.x i 8.x oraz nieobsługiwane linie przed nimi; zachowanie zostało wprowadzone w wersji 10.3.0.

Ten problem dotyczy Apache Wicket: od 10.3.0 do 10.11.0. Użytkownikom zaleca się aktualizację do wersji 10.12.0, która rozwiązuje problem.

Missing authorization in Apache Wicket.

org.apache.wicket.markup.html.form.Form resolves the component that submitted a form from the request parameters in Form#onRequest() and passes the result directly to Form#onFormSubmitted(IFormSubmitter). The check that the submitting component is visible and enabled in its hierarchy runs only when onFormSubmitted() is given no submitter, so it no longer runs for an ordinary form submission, and it is the only point at which Wicket verifies that the application actually offered the named control to the caller. Form#findSubmitter() matches on the request parameter name alone and applies no visibility or enablement filter, and the request handler checks only the form itself, which is visible and enabled. A request that names a submit button the application withheld therefore reaches that button's onSubmit() and onAfterSubmit(), and its onError() when form validation fails; where the button sets setDefaultFormProcessing(false) it reaches onSubmit() and onAfterSubmit() without any form validation.

An application is affected where a form submitting component, such as a Button or a SubmitLink, is unavailable to the caller while the enclosing form remains available. How the component was made unavailable does not matter: the component's own setVisible(false), setEnabled(false) or setVisibilityAllowed(false), an overridden isVisible() or isEnabled(), an invisible or disabled parent container anywhere above it, and a RENDER or ENABLE denial from IAuthorizationStrategy — for example through MetaDataRoleAuthorizationStrategy or the AuthorizeAction annotation — are all enforced by that one check, and all of them are bypassed. A component that renders as disabled carries its own input name in the markup the caller already holds. Submissions made through AjaxFormSubmitBehavior, and therefore through AjaxButton and AjaxSubmitLink, are not affected: those are invoked as a behaviour on the button itself, the behaviour's invocation is authorized against that button, and the non-Ajax callbacks of those two classes do nothing. Restrictions applied to the form or to the page rather than to the submitting component are unaffected.

The 9.x and 8.x release lines, and the unsupported lines before them, are not affected; the behaviour was introduced in 10.3.0.

This issue affects Apache Wicket: from 10.3.0 through 10.11.0. Users are recommended to upgrade to version 10.12.0, which fixes the issue.

>_ Słabości (CWE)

CWE-862

>_ Referencje

https://lists.apache.org/thread.html/lz4jot6f9ycxfjyhmlr2b4ssynmgpy92

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve