Średni Odebrany

CVE-2026-84172

opublikowano: 02.11.2026, 00:17

modyfikacja: 02.11.2026, 00:17

Ocena CVSS

6.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Pliki dostępne dla stron zewnętrznych w Apache Wicket.

org.apache.wicket.markup.html.PackageResourceGuard decyduje, czy plik w ścieżce klasy może być przesyłany strumieniowo do klienta jako zasób pakietu. HTML znajduje się na domyślnej liście dozwolonych, więc jedyną rzeczą, która oddziela statyczny plik HTML, który może zostać wyświetlony, od szablonu znaczników komponentu, co nie musi, jest sprawdzenie, czy obok niego znajduje się plik klasy o tej samej nazwie. To sprawdzenie wywołuje funkcję getResource() w programie ładującym klasy, który załadował rdzeń furtki. Do samego zasobu można uzyskać dostęp za pośrednictwem różnych modułów ładujących klasy: klasa zasięgu jest rozpoznawana za pomocą funkcji IClassResolver aplikacji, która korzysta z modułu ładującego klasy kontekstu wątku, a funkcja org.apache.wicket.core.util.resource.ClassPathResourceFinder#find() następnie wypróbowuje własny moduł ładujący klasy zakresu, moduł ładujący klasy kontekstu i moduł ładujący z rdzeniem furtki.

Tam, gdzie wicket-core jest ładowany przez program ładujący klasy, który nie widzi klas aplikacji, kontrola nie znajduje pliku klasy, stwierdza, że plik nie jest szablonem znaczników komponentu i udostępnia go. Żądanie adresu URL zasobu pakietu klasy komponentu zwraca następnie szablon znaczników tego komponentu ze statusem 200. Ujawniana jest zawartość szablonu autorstwa programisty: struktura komponentu, komentarze programisty, znaczniki renderowane tylko pod pewnymi warunkami, skrypt wbudowany i punkty końcowe i nazwy szablonów. Dostęp jest tylko do odczytu i w ten sposób nie można uzyskać dostępu do żadnych danych użytkownika, poświadczeń ani materiałów sesyjnych.

Takie wdrożenie jest rzadkością. Zwykłe opakowanie, archiwum sieciowe z rdzeniem furtki w WEB-INF/lib, umieszcza framework i aplikację w jednym module ładującym klasy, więc sprawdzenie znajduje plik klasy, a szablon zostaje odrzucony; nie ma to wpływu na te wdrożenia. Narażenie ogranicza się do wdrożeń, które udostępniają firmie wicket-core moduł ładujący klasy, który nie widzi klas komponentów aplikacji: wicket-core jest umieszczony w katalogu bibliotek współdzielonych kontenera serwletów, w katalogu bibliotek archiwum przedsiębiorstwa z aplikacją w archiwum internetowym, jako moduł globalny serwera aplikacji lub jako pakiet OSGi, gdzie pakiet wicket-core nie jest w stanie rozpoznać klasy przechowywanej w pakiecie aplikacji. Znaczniki dostarczane przez własne moduły Wicket i każdy inny kod współdzielący moduł ładujący klasy z rdzeniem wicket pozostają chronione. Osoba atakująca musi nazwać klasę komponentu, a Wicket zapisuje w pełni kwalifikowane nazwy klas w adresie URL każdego renderowanego zasobu pakietu.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0, od 9.0.0 do 9.24.0, od 10.0.0 do 10.11.0. Użytkownicy Apache Wicket 7.x lub starszego, które nie są już obsługiwane, powinni dokonać aktualizacji do obsługiwanej wersji. Użytkownikom zaleca się aktualizację do wersji 8.20.0, 9.25.0 lub 10.12.0, która rozwiązuje problem.

Files accessible to external parties in Apache Wicket.

org.apache.wicket.markup.html.PackageResourceGuard decides whether a file on the classpath may be streamed to a client as a package resource. HTML is on the default allow list, so the only thing that separates a static HTML file, which may be served, from a component's markup template, which may not, is a check for a class file of the same name beside it. That check calls getResource() on the class loader that loaded wicket-core. The resource itself is reached through different class loaders: the scope class is resolved through the application's IClassResolver, which uses the thread context class loader, and org.apache.wicket.core.util.resource.ClassPathResourceFinder#find() then tries the scope class' own loader, the context class loader, and the wicket-core loader last.

Where wicket-core is loaded by a class loader that cannot see the application's classes, the check finds no class file, concludes the file is not a component markup template, and serves it. A request for the package resource URL of a component class then returns that component's markup template with status 200. What is disclosed is developer-authored template content: component structure, developer comments, markup that is rendered only under some conditions, inline script, and the endpoints a template names. Access is read-only, and no user data, credential or session material is reachable this way.

Such a deployment is rare. The ordinary packaging, a web archive with wicket-core in WEB-INF/lib, puts the framework and the application in one class loader, so the check finds the class file and the template is refused; those deployments are not affected. The exposure is confined to deployments that give wicket-core a class loader which cannot see the application's component classes: wicket-core placed in a servlet container's shared library directory, in an enterprise archive library directory with the application in the web archive, as an application server global module, or as an OSGi bundle, where wicket-core's bundle cannot resolve a class held by an application bundle. Markup shipped by Wicket's own modules, and by any other code sharing a class loader with wicket-core, remains protected. An attacker has to name a component class, and Wicket writes fully qualified class names into the URL of every package resource it renders.

This issue affects Apache Wicket: from 8.0.0 through 8.19.0, from 9.0.0 through 9.24.0, from 10.0.0 through 10.11.0. Users of Apache Wicket 7.x or older, which are no longer supported, should upgrade to a supported version. Users are recommended to upgrade to version 8.20.0, 9.25.0 or 10.12.0, which fix the issue.

>_ Słabości (CWE)

CWE-552

>_ Referencje

https://lists.apache.org/thread.html/90mlx42q7nkdccdby1ql1ksl4sxy13x6

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve