CVE-2026-70449
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 58 - wyżej niż 58% wszystkich znanych CVE
Streszczenie
Podatność w Apache Wicket pozwala nieuwierzytelnionemu atakującemu na odczyt plików z aplikacji webowej, w tym plików z katalogu WEB-INF, które normalnie nie są serwowane. Atak wykorzystuje nieprawidłową walidację atrybutów URL zasobów pakietu, które są wstawiane do ścieżki wyszukiwania bez sprawdzenia separatorów ścieżki.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do plików aplikacji, w tym potencjalnie plików konfiguracyjnych (jeśli skonfigurowano dozwolone rozszerzenia), co może prowadzić do ujawnienia wrażliwych informacji. Dodatkowo, zapytania działają jako wyrocznia istnienia plików, umożliwiając atakującemu mapowanie struktury aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache Wicket do wersji 8.19.0, 9.24.0 lub 10.11.0, które naprawiają tę podatność. Użytkownicy starszych, niewspieranych wersji (7.x i starsze) powinni przejść na wspieraną wersję.
Inne podatności w Apache Wicket
Zobacz wszystkie- CVE-2026-43646Wysokie
W Apache Wicket występuje podatność na ujawnienie wrażliwych informacji osobom nieuprawnionym. Dotyczy to wersji od 8.0.0 do 8.17.0, od 9.0.0 do 9.22.0 oraz od 10.0.0 do 10.8.0.
- CVE-2014-3526Wysokie
Apache Wicket w wersjach przed 1.5.12, 6.x przed 6.17.0 oraz 7.x przed 7.0.0-M3 może umożliwić zdalnym atakującym uzyskanie wrażliwych informacji poprzez identyfikatory używane do przechowywania znaczników stron dla tymczasowych sesji użytkowników.
- CVE-2016-6806Wysokie
Apache Wicket w wersjach 6.x przed 6.25.0, 7.x przed 7.5.0 oraz 8.0.0-M1 zawiera lukę w zabezpieczeniach, która nieprawidłowo obsługuje zapobieganie atakom CSRF, nie wykrywając niektórych żądań z innych źródeł. Problem dotyczy również braku sprawdzania niektórych celów po stronie serwera Wicket.
- CVE-2014-7808Wysokie
Apache Wicket w wersjach przed 1.5.13, 6.x przed 6.19.0 oraz 7.x przed 7.0.0-M5 ułatwia atakującym pokonanie mechanizmu ochrony kryptograficznej i przewidywanie zaszyfrowanych adresów URL, wykorzystując CryptoMapper jako domyślnego dostawcę szyfrowania.
- CVE-2016-6793Krytyczne
Klasa DiskFileItem w Apache Wicket w wersjach 6.x przed 6.25.0 oraz 1.5.x przed 1.5.17 umożliwia zdalnym atakującym wywołanie odmowy usługi (nieskończona pętla) oraz zapis, przenoszenie i usuwanie plików z uprawnieniami DiskFileItem. Dodatkowo, jeśli działa na maszynie wirtualnej Java przed wersją 1.3.1, może wykonywać dowolny kod za pomocą spreparowanego zserializowanego obiektu Java.
- CVE-2026-76986Średnie
W Apache Wicket wykryto podatność na cross-site scripting (XSS) w komponencie AbstractSingleSelectChoice (bazowym dla DropDownChoice). Domyślna opcja (null) jest zapisywana w markup bez escapowania, podczas gdy inne opcje są escapowane. Podatność dotyczy aplikacji, które nadpisują metody getNullValidDisplayValue() lub getNullKeyDisplayValue() i zwracają dane kontrolowane przez atakującego. Wersje od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0, od 10.0.0 do 10.10.0 są dotknięte.
- CVE-2026-76985Średnie
W Apache Wicket wykryto podatność na cross-site scripting (XSS) w komponencie AbstractOptions (renderującym listy opcji w Palette). Atrybuty i wartości zwracane przez getAdditionalAttributes są zapisywane bez escapowania. Podatność dotyczy aplikacji, które nadpisują metody getAdditionalAttributesForChoices, getAdditionalAttributesForSelection lub getAdditionalAttributes i zwracają dane kontrolowane przez atakującego. Wersje od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0, od 10.0.0 do 10.10.0 są dotknięte.
- CVE-2026-76984Średnie
W Apache Wicket w komponencie MetaDataHeaderItem nieprawidłowo neutralizowane są dane wejściowe podczas generowania stron. Atrybuty wartości w tagach <meta> i <link> nie są poprawnie escapowane, co pozwala na wstrzyknięcie dodatkowych atrybutów. Problem dotyczy wersji od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.10.0.
- CVE-2026-76983Średnie
W Apache Wicket tag <wicket:label> jest renderowany bez escapowania, co pozwala na wstrzyknięcie znaczników HTML, jeśli etykieta pochodzi z modelu zawierającego dane kontrolowane przez atakującego. Problem dotyczy wersji od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.10.0.
- CVE-2026-76982Średnie
Podatność XSS w Apache Wicket dotyczy komponentu Button renderowanego jako element <button>. Konstruktor czyści flagę escape-model-strings, przez co model nie jest kodowany przy zapisie do treści elementu, co pozwala na wstrzyknięcie znaczników HTML.
Oryginalny opis (angielski, źródło NVD)
Improper validation of resource URL attributes in Apache Wicket allows an unauthenticated remote attacker to read files from the web application, including files under WEB-INF that the servlet container would not otherwise serve. The locale, style and variation attributes decoded from a package resource URL are spliced into the resource lookup path without being checked for path separators. The IPackageResourceGuard — whose rejection of .. is one of the two intended controls — is applied to the resource name before those attributes are appended, and WebApplicationPath rejects only paths literally beginning with WEB-INF/. Neither control ever inspects the attacker-controlled portion of the path. On servlet containers that normalize .. in ServletContext.getResource(), a crafted request therefore escapes the intended package directory. The set of readable files is limited to the file extensions permitted by the configured IPackageResourceGuard. The default SecurePackageResourceGuard permits only js, css, png, jpg, jpeg, gif, ico, cur, map, html, txt, swf, bmp, svg, avif, eot, ttf, woff and woff2, which excludes configuration formats. Applications that have added patterns to the guard, or replaced it with the blocklist-based PackageResourceGuard, can additionally disclose configuration files such as web.xml. Independently of the extension, the lookup performed before the guard runs acts as an existence oracle for arbitrary paths. This issue affects Apache Wicket 8.18.0 and before, 9.23.0 and before and 10.10.0 and before. Users are recommended to upgrade to version 8.19.0, 9.24.0 or 10.11.0, which fix the issue. Users of Apache Wicket 7.x or older, which are no longer supported, should upgrade to a supported version.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS