Wysoki Odebrany

CVE-2026-83559

opublikowano: 02.11.2026, 00:17

modyfikacja: 02.11.2026, 00:17

Ocena CVSS

7.4

Wysoki · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Niewłaściwe kodowanie lub ucieczka danych wyjściowych w Apache Wicket.

org.apache.wicket.core.util.string.JavaScriptUtils#escapeQuotes() zastępuje każdy pojedynczy cudzysłów w danych wejściowych ukośnikiem odwrotnym i pojedynczym cudzysłowem, a każdy podwójny cudzysłów ukośnikiem odwrotnym i podwójnym cudzysłowem, dzięki czemu wartość można umieścić wewnątrz literału ciągu JavaScript. Nie unika ukośnika odwrotnego, czyli znaku, przed którym należy uciec, i należy uciec jako pierwszy, aby pozostała część ucieczki została zachowana. Wartość, która już zawiera ukośnik odwrotny bezpośrednio przed cudzysłowem, kończy się zatem dwoma ukośnikami odwrotnymi przed tym cudzysłowem: pierwszy wymyka się drugiemu, sam cudzysłów pozostaje bez zmiany znaczenia i zamyka literał. Jakakolwiek wartość niesie się za tym punktem, nie jest to już tekst, ale JavaScript i działa w źródle aplikacji oraz w sesji użytkownika przeglądającego stronę. Metoda jest publiczna, nie jest przestarzała, a jej dokumentacja stwierdza, że jej wynik może być częścią wywołania JavaScript, takiego jak alert; jedyne ograniczenie, jakie zauważa, dotyczy wartości JSON, które wymagają innej zmiany znaczenia.

Aplikacja ma na to wpływ wszędzie tam, gdzie wywołuje samą metodę i umieszcza wynik w literale ciągu JavaScript, z własnego kodu lub z komponentu własnego lub strony trzeciej, a wartość, której ucieka, przechowuje dane, na które atakujący może mieć wpływ. Nie ma dalszych warunków i nie trzeba angażować żadnego komponentu Wicket: aplikacja używa metody zgodnie z tym, co oferuje jej dokumentacja, a metoda tego nie zapewnia.

Dwa komponenty dostarczane z rozszerzeniami Wicket przekazują wartość przez tę metodę. org.apache.wicket.extensions.ajax.markup.html.AjaxEditableLabel zapisuje pierwszy komunikat z informacją o błędzie edytora w literale ciągu JavaScript ujętym w pojedynczy cudzysłów w odpowiedzi Ajax, zatem wpływ na aplikację ma ten komponent, w którym komunikat pokazywany w przypadku nieudanej edycji zawiera dane, na które atakujący może mieć wpływ, niezależnie od tego, czy jest to sama przesłana wartość, czy inna zmienna, którą aplikacja ustawia na podstawie błędu sprawdzania poprawności. Komunikat weryfikacyjny może zawierać przesłaną wartość, ponieważ dane wejściowe to zmienna komunikatu, którą każdy komponent formularza dostarcza w przypadku własnych błędów sprawdzania poprawności, a dokumentacja pokazuje zastąpienie komunikatu modułu sprawdzania poprawności w celu jego uwzględnienia; żaden z pakietów komunikatów dostarczonych z Wicket nie interpoluje tego, zatem komponent ten nie ma wpływu na aplikację, która nie napisała takiego komunikatu. org.apache.wicket.extensions.ajax.markup.html.repeater.AjaxListPanel przekazuje serializowany znacznik znaczników dołączonego komponentu przez metodę i nie ma na to wpływu: znacznik pochodzi z własnego pliku znaczników panelu, a cudzysłów w dowolnej wartości atrybutu, łącznie z identyfikatorem znacznika komponentu, jest zapisywany jako odniesienie do znaku przez serializację znacznika i nie może zamknąć literału.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0, od 9.0.0 do 9.24.0, od 10.0.0 do 10.11.0. Użytkownicy Apache Wicket 7.x lub starszego, które nie są już obsługiwane, powinni dokonać aktualizacji do obsługiwanej wersji.

Użytkownikom zaleca się aktualizację do wersji 8.20.0, 9.25.0 lub 10.12.0, która rozwiązuje problem.

Improper encoding or escaping of output in Apache Wicket.

org.apache.wicket.core.util.string.JavaScriptUtils#escapeQuotes() replaces each single quote in its input with a backslash and a single quote, and each double quote with a backslash and a double quote, so that the value can be placed inside a JavaScript string literal. It does not escape the backslash, which is the character that has to be escaped, and escaped first, for the rest of that escaping to hold. A value that already holds a backslash immediately before a quote therefore ends up with two backslashes in front of that quote: the first escapes the second, the quote itself is left unescaped, and it closes the literal. Whatever the value carries after that point is no longer text but JavaScript, and it runs in the application's origin and in the session of the user looking at the page. The method is public, is not deprecated, and its documentation states that its result can be part of a JavaScript call such as an alert; the only limitation it notes concerns JSON values, which need different escaping.

An application is affected wherever it calls the method itself and places the result inside a JavaScript string literal, from its own code or from a component of its own or of a third party, and the value it escapes holds data an attacker can influence. There is no further condition, and no component of Wicket has to be involved: the application is using the method for what its documentation offers, and the method does not deliver it.

Two components shipped with Wicket Extensions pass a value through the method. org.apache.wicket.extensions.ajax.markup.html.AjaxEditableLabel writes the editor's first error feedback message into a single-quoted JavaScript string literal in the Ajax response, so an application is affected through that component where the message shown for a failed edit holds data an attacker can influence, whether that is the submitted value itself or another variable the application sets on the validation error. A validation message can carry the submitted value, because input is a message variable that every form component supplies for its own validation errors, and the documentation shows overriding a validator's message to include it; none of the message bundles shipped with Wicket interpolates it, so an application that has not written such a message is not affected through this component. org.apache.wicket.extensions.ajax.markup.html.repeater.AjaxListPanel passes the serialized markup tag of an appended component through the method and is not affected: the tag comes from the panel's own markup file, and a quote in any of its attribute values, the component's markup id included, is written as a character reference by the tag serialization and cannot close the literal.

This issue affects Apache Wicket: from 8.0.0 through 8.19.0, from 9.0.0 through 9.24.0, from 10.0.0 through 10.11.0. Users of Apache Wicket 7.x or older, which are no longer supported, should upgrade to a supported version.

Users are recommended to upgrade to version 8.20.0, 9.25.0 or 10.12.0, which fix the issue.

>_ Słabości (CWE)

CWE-116

>_ Referencje

https://lists.apache.org/thread.html/77kc85ztkxdpp7wg7cv61c4539j9s1g3

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve