CVE-2026-84231

Niewłaściwa neutralizacja danych wejściowych podczas generowania strony internetowej w Apache Wicket.

org.apache.wicket.markup.html.link.ExternalLink tworzy moduł obsługi kliknięć JavaScript i zapisuje go w atrybucie onclick znacznika, ilekroć znacznik znacznika, z którym powiązany jest komponent, nie jest elementem a, linkem ani obszarem. Adres URL przechowywany w modelu komponentu jest łączony w literał ciągu JavaScript ujęty w pojedynczy cudzysłów w tej procedurze obsługi bez zmiany znaczenia w tym kontekście. To samo dzieje się w sąsiedniej gałęzi, gdy dołączone są ustawienia wyskakujących okienek, gdzie wartość jest łączona z wywołaniem window.open() zbudowanym przez org.apache.wicket.markup.html.link.PopupSettings#getPopupJavaScript(). Jedyną zastosowaną zmianą jest zmiana znaczników, którą otrzymuje każda wartość atrybutu podczas zapisywania znacznika, która zastępuje apostrof odwołaniem do znaku. Przeglądarka dekoduje odniesienia do znaków w wartości atrybutu przed skompilowaniem procedury obsługi zdarzeń, więc apostrof jest przywracany, zamyka literał ciągu, a reszta wartości modelu jest wykonywana jako skrypt w źródle aplikacji.

Na aplikację wpływa to, gdy wiąże ona element OutsideLink ze znacznikiem, który nie jest kotwicą, takim jak przycisk lub zakres, a adres URL w modelu zawiera dane, na które osoba atakująca może mieć wpływ, co oznacza zwykłe użycie komponentu, a nie jego niewłaściwe użycie. Nic nie działa, dopóki użytkownik nie aktywuje elementu.

Ten problem dotyczy Apache Wicket: od 8.0.0 do 8.19.0. Użytkownicy Apache Wicket 7.x lub starszego, które nie są już obsługiwane, powinni dokonać aktualizacji do obsługiwanej wersji.

Użytkownikom zaleca się aktualizację do wersji 8.20.0, która rozwiązuje problem.