Średni Odebrany

CVE-2026-82705

opublikowano: 01.11.2026, 23:17

modyfikacja: 01.11.2026, 23:17

Ocena CVSS

6.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Brak autoryzacji w Apache Wicket.

org.apache.wicket.authorization.IAuthorizationStrategy deklaruje funkcję isResourceAuthorized(), a metoda ta ma pojedynczy punkt egzekwowania w strukturze: org.apache.wicket.request.handler.resource.ResourceRequestHandler, procedura obsługi obsługująca zasób osiągany poprzez zamontowany lub współdzielony ResourceReference. Komponenty, które otrzymują instancję org.apache.wicket.request.resource.IResource, zamiast tego same wywołują funkcję IResource#respond() z własnego detektora żądań i nigdy nie konstruują tej procedury obsługi. W wicket-core są to org.apache.wicket.markup.html.link.ResourceLink, org.apache.wicket.markup.html.image.Image i org.apache.wicket.markup.html.form.ImageButton; w rozszerzeniach wicket jest to org.apache.wicket.extensions.ajax.AjaxDownloadBehavior. Zasób ograniczony przez niestandardową implementację isResourceAuthorized() lub przez adnotację @AuthorizeResource z wicket-auth-roles jest zatem wymuszany, gdy jest żądany za pośrednictwem własnego adresu URL zasobu i nie jest wymuszany, gdy ta sama instancja jest obsługiwana przez komponent, który go przechowuje.

O tym, które z nich nastąpi, decyduje konstruktor, z którego korzysta aplikacja, a nie cokolwiek, co aplikacja może zobaczyć na renderowanej stronie. ResourceLink(String, ResourceReference) renderuje adres URL zasobu, a żądanie jest autoryzowane; ResourceLink(String, IResource) renderuje adres URL odbiornika komponentu, ale tak nie jest. Image, ImageButton i AjaxDownloadBehavior oferują tę samą parę konstruktorów i zachowują się w ten sam sposób. Image i ImageButton zapisują adres URL odbiornika w atrybucie src renderowanego przez siebie znacznika, więc przeglądarka żąda go bez żadnej akcji ze strony użytkownika, a zasób obsługiwany przez Image może również pochodzić z modelu komponentu.

Aplikacja ma na to wpływ, gdy ogranicza zasób za pomocą IAuthorizationStrategy#isResourceAuthorized() lub adnotacji @AuthorizeResource, a następnie przekazuje ten sam zasób do jednego z tych komponentów jako IResource. Nie ma to wpływu na aplikację, która w ogóle nie ogranicza zasobów, ani na zasób, który jest jedynie podłączony lub zarejestrowany jako zasób współdzielony. Wzorzec nie musi być napisany przez samą aplikację: org.apache.wicket.extensions.markup.html.repeater.data.table.export.ExportToolbar buduje każde ze swoich łączy eksportowych z instancji IResource, więc wyeksportowana zawartość tabeli danych jest udostępniana bez sprawdzania zasobów w dowolnej aplikacji, która dodaje ten pasek narzędzi.

Aby obejść ten problem, zarejestruj zasób we współużytkowanych zasobach aplikacji i przekaż wynikowy ResourceReference do komponentu zamiast do IResource, tak aby żądanie było kierowane przez procedurę obsługi, która konsultuje strategię autoryzacji.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0, od 9.0.0 do 9.24.0, od 10.0.0 do 10.11.0. Użytkownikom zaleca się aktualizację do wersji 8.20.0, 9.25.0 lub 10.12.0, która rozwiązuje problem.

Missing authorization in Apache Wicket.

org.apache.wicket.authorization.IAuthorizationStrategy declares isResourceAuthorized(), and that method has a single enforcement point in the framework: org.apache.wicket.request.handler.resource.ResourceRequestHandler, the handler that serves a resource reached through a mounted or shared ResourceReference. Components that are handed an org.apache.wicket.request.resource.IResource instance instead call IResource#respond() themselves from their own request listener and never construct that handler. In wicket-core these are org.apache.wicket.markup.html.link.ResourceLink, org.apache.wicket.markup.html.image.Image and org.apache.wicket.markup.html.form.ImageButton; in wicket-extensions it is org.apache.wicket.extensions.ajax.AjaxDownloadBehavior. A resource restricted by a custom isResourceAuthorized() implementation, or by an @AuthorizeResource annotation from wicket-auth-roles, is therefore enforced when it is requested through its own resource URL and is not enforced when the same instance is served through the component that holds it.

Which of the two happens is decided by the constructor the application used, and not by anything the application can see in the rendered page. ResourceLink(String, ResourceReference) renders a resource URL and the request is authorized; ResourceLink(String, IResource) renders a component listener URL and it is not. Image, ImageButton and AjaxDownloadBehavior each offer the same pair of constructors and behave the same way. Image and ImageButton write that listener URL into the src attribute of the tag they render, so a browser requests it without any action by the user, and the resource an Image serves may also come from the component's model.

An application is affected where it restricts a resource through IAuthorizationStrategy#isResourceAuthorized() or an @AuthorizeResource annotation and then hands that same resource to one of those components as an IResource. An application that does not restrict resources at all is not affected, and neither is a resource that is only mounted or registered as a shared resource. The pattern does not have to be written by the application itself: org.apache.wicket.extensions.markup.html.repeater.data.table.export.ExportToolbar builds each of its export links from an IResource instance, so the exported contents of a data table are served without the resource check in any application that adds that toolbar.

As a workaround, register the resource in the application's shared resources and pass the resulting ResourceReference to the component instead of the IResource, so that the request is routed through the handler that consults the authorization strategy.

This issue affects Apache Wicket: from 8.0.0 through 8.19.0, from 9.0.0 through 9.24.0, from 10.0.0 through 10.11.0. Users are recommended to upgrade to version 8.20.0, 9.25.0 or 10.12.0, which fix the issue.

>_ Słabości (CWE)

CWE-862

>_ Referencje

https://lists.apache.org/thread.html/t9y3sho3wkqkr1vsf74xn8tzmgdr1tgo

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve