Wysoki Odebrany

CVE-2026-83539

opublikowano: 02.11.2026, 00:17

modyfikacja: 02.11.2026, 00:17

Ocena CVSS

7.4

Wysoki · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Niewłaściwa neutralizacja danych wejściowych podczas generowania strony internetowej w Apache Wicket.

org.apache.wicket.extensions.markup.html.basic.SmartLinkLabel i org.apache.wicket.extensions.markup.html.basic.SmartLinkMultiLineLabel wyświetlają wartość tekstową i zamieniają każdy znaleziony w niej adres URL w hiperłącze. Obydwa wymykają się wartości modelu, a następnie przekazują tekst ucieczki do org.apache.wicket.extensions.markup.html.basic.DefaultLinkParser, który przeszukuje go pod kątem czegokolwiek w postaci schemacie:://rest i otacza każde dopasowanie kotwicą, której href jest dopasowanym tekstem, skopiowanym w takiej postaci, w jakiej jest. Wzorzec akceptuje dowolny schemat i nigdzie na ścieżce nie ma listy dozwolonych schematów. Wartość tekstowa nazywająca schemat wykonujący skrypt staje się zatem kotwicą, która go wykonuje, w źródle aplikacji i we własnej sesji czytelnika, gdy czytelnik kliknie łącze. Samo renderowanie strony nie wystarczy; link musi zostać aktywowany. Ucieczka nie zapobiega temu i nie stanowi problemu: wszystkie znaki, których potrzebuje ładunek, są prawidłowe w adresie URL i są to te, które org.apache.wicket.util.string.Strings#escapeMarkup() pozostawia w spokoju, a wartość kończy się w adresie URL, a nie w tekście elementu, co jest kontekstem, w którym ucieczka danych modelu nie zapewnia bezpieczeństwa.

Aplikacja ma na to wpływ, gdy renderuje tekst otrzymany za pośrednictwem jednego z tych dwóch komponentów. Do tego właśnie służą: służą do łączenia adresów e-mail i adresów URL stron internetowych znajdujących się w danych wyświetlanych przez aplikację, więc celem tej funkcji jest wprowadzanie niezaufanych danych, a nie jej niewłaściwe użycie i nie wiąże się to z żadną niezwykłą konfiguracją. Żaden inny komponent nie używa tego analizatora składni i nie ma to wpływu na aplikacje, które nie używają SmartLinkLabel ani SmartLinkMultiLineLabel.

W wersjach 9.x i 10.x furtka Content-Security-Policy Wicket domyślnie wysyła skrypt tylko ze źródła zawierającego wartość jednorazową dla każdej odpowiedzi, a adres URL, którego schemat wykonuje skrypt, nie może go przenosić, więc domyślna zasada wstrzymuje uruchomienie skryptu. Jest to właściwość profilu domyślnego, a nie tych komponentów. Aplikacja, która z tego lub innego powodu osłabiła lub wyłączyła swoją Politykę bezpieczeństwa treści, jest dotknięta w całości. Wicket 8.x nie obsługuje w ogóle polityki bezpieczeństwa treści i ma to wpływ w obecnej postaci.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0, od 9.0.0 do 9.24.0, od 10.0.0 do 10.11.0. Użytkownicy Apache Wicket 7.x lub starszego, które nie są już obsługiwane, powinni dokonać aktualizacji do obsługiwanej wersji. Użytkownikom zaleca się aktualizację do wersji 8.20.0, 9.25.0 lub 10.12.0, która rozwiązuje problem.

Improper neutralization of input during web page generation in Apache Wicket.

org.apache.wicket.extensions.markup.html.basic.SmartLinkLabel and org.apache.wicket.extensions.markup.html.basic.SmartLinkMultiLineLabel display a text value and turn any URL they find in it into a hyperlink. Both escape the model value and then hand the escaped text to org.apache.wicket.extensions.markup.html.basic.DefaultLinkParser, which searches it for anything of the form scheme://rest and wraps each match in an anchor whose href is the matched text, copied in as it is. The pattern accepts any scheme, and there is no list of permitted schemes anywhere on the path. A text value naming a scheme that executes script therefore becomes an anchor that executes it, in the application's origin and in the reader's own session, when the reader clicks the link. Rendering the page is not enough on its own; the link has to be activated. Escaping does not prevent this and is not the issue: the characters the payload needs are all valid in a URL and are ones that org.apache.wicket.util.string.Strings#escapeMarkup() leaves alone, and the value ends up in a URL rather than in element text, which is a context that escaping model data does not make safe.

An application is affected where it renders text it received through either of these two components. That is what they are for: they exist to linkify email addresses and web URLs found in the data an application is displaying, so untrusted input is the purpose of the feature rather than a misuse of it, and no unusual configuration is involved. No other component uses this parser, and an application that uses neither SmartLinkLabel nor SmartLinkMultiLineLabel is not affected.

On 9.x and 10.x the Content-Security-Policy Wicket sends by default admits script only from a source carrying a per-response nonce, and a URL whose scheme executes script cannot carry one, so that default policy stops the script from running. This is a property of the default policy and not of these components. An application that has weakened or disabled its Content-Security-Policy, for this or for any unrelated reason, is affected in full. Wicket 8.x has no Content-Security-Policy support at all and is affected as it stands.

This issue affects Apache Wicket: from 8.0.0 through 8.19.0, from 9.0.0 through 9.24.0, from 10.0.0 through 10.11.0. Users of Apache Wicket 7.x or older, which are no longer supported, should upgrade to a supported version. Users are recommended to upgrade to version 8.20.0, 9.25.0 or 10.12.0, which fix the issue.

>_ Słabości (CWE)

CWE-79

>_ Referencje

https://lists.apache.org/thread.html/xqdymd8g178sc112lmqbp53zlss53cwz

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve