CVE-2026-82558

Brak autoryzacji w Apache Wicket.

org.apache.wicket.protocol.ws.api.WebSocketBehavior, za pomocą którego natywna obsługa protokołu WebSocket Wicket przekazuje do aplikacji wiadomość wysłaną przez klienta, wywołuje wywołania zwrotne onMessage() bez sprawdzania, czy klient może wywołać komponent, do którego jest dołączone zachowanie. Wicket otwiera pojedyncze połączenie WebSocket na stronę, a otrzymana na nim wiadomość jest dostarczana do każdego WebSocketBehavior tej strony. W przypadku zachowania Ajax Wicket sprawdza to przed jego wywołaniem, poprzez Behavior#canCallListener(Component), który odrzuca komponent, który nie jest widoczny lub nie jest włączony, w tym taki, dla którego IAuthorizationStrategy odmawia akcji RENDER lub ENABLE. A zatem WebSocketBehavior dołączony do takiego komponentu lub do jego elementu podrzędnego odbiera komunikaty tekstowe i binarne klienta wraz z WebSocketRequestHandler, który zapisuje zwrotnie do tego klienta, w przypadku gdy zachowanie Ajax w tym samym komponencie zostałoby odrzucone.

Na aplikację wpływa to, gdy dołącza funkcję WebSocketBehavior, która zastępuje funkcję onMessage() do komponentu, który ukrywa, wyłącza lub ogranicza za pomocą swojej IAuthorizationStrategy, na przykład za pomocą MetaDataRoleAuthorizationStrategy lub adnotacji AuthorizeAction. Klient potrzebuje własnej sesji i własnej strony zawierającej taki komponent: wiadomości są dostarczane tylko do stron w magazynie stron własnej sesji klienta, więc nie daje to dostępu do sesji, strony ani połączenia innego użytkownika. Nie ma to wpływu na wiadomości przesyłane przez serwer.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0, od 9.0.0 do 9.24.0, od 10.0.0 do 10.11.0. Dotyczy to również starszych, nieobsługiwanych wersji od wersji 6.0.0 i nowszych. Użytkownikom zaleca się aktualizację do wersji 8.20.0, 9.25.0 lub 10.12.0, która rozwiązuje problem.