CVE-2026-76983
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W Apache Wicket tag <wicket:label> jest renderowany bez escapowania, co pozwala na wstrzyknięcie znaczników HTML, jeśli etykieta pochodzi z modelu zawierającego dane kontrolowane przez atakującego. Problem dotyczy wersji od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.10.0.
Ocena ryzyka
Jeśli etykiety komponentów formularzy zawierają dane od użytkownika, atakujący może wstrzyknąć złośliwy kod HTML, co może prowadzić do ataków XSS lub manipulacji treścią strony.
Rekomendacja
Zaleca się aktualizację do wersji 8.19.0, 9.24.0 lub 10.11.0, które zawierają poprawkę. Nie ma obejścia, więc aktualizacja jest konieczna.
Inne podatności w Apache Wicket
Zobacz wszystkie- CVE-2026-43646Wysokie
W Apache Wicket występuje podatność na ujawnienie wrażliwych informacji osobom nieuprawnionym. Dotyczy to wersji od 8.0.0 do 8.17.0, od 9.0.0 do 9.22.0 oraz od 10.0.0 do 10.8.0.
- CVE-2014-3526Wysokie
Apache Wicket w wersjach przed 1.5.12, 6.x przed 6.17.0 oraz 7.x przed 7.0.0-M3 może umożliwić zdalnym atakującym uzyskanie wrażliwych informacji poprzez identyfikatory używane do przechowywania znaczników stron dla tymczasowych sesji użytkowników.
- CVE-2016-6806Wysokie
Apache Wicket w wersjach 6.x przed 6.25.0, 7.x przed 7.5.0 oraz 8.0.0-M1 zawiera lukę w zabezpieczeniach, która nieprawidłowo obsługuje zapobieganie atakom CSRF, nie wykrywając niektórych żądań z innych źródeł. Problem dotyczy również braku sprawdzania niektórych celów po stronie serwera Wicket.
- CVE-2014-7808Wysokie
Apache Wicket w wersjach przed 1.5.13, 6.x przed 6.19.0 oraz 7.x przed 7.0.0-M5 ułatwia atakującym pokonanie mechanizmu ochrony kryptograficznej i przewidywanie zaszyfrowanych adresów URL, wykorzystując CryptoMapper jako domyślnego dostawcę szyfrowania.
- CVE-2016-6793Krytyczne
Klasa DiskFileItem w Apache Wicket w wersjach 6.x przed 6.25.0 oraz 1.5.x przed 1.5.17 umożliwia zdalnym atakującym wywołanie odmowy usługi (nieskończona pętla) oraz zapis, przenoszenie i usuwanie plików z uprawnieniami DiskFileItem. Dodatkowo, jeśli działa na maszynie wirtualnej Java przed wersją 1.3.1, może wykonywać dowolny kod za pomocą spreparowanego zserializowanego obiektu Java.
- CVE-2026-76986Średnie
W Apache Wicket wykryto podatność na cross-site scripting (XSS) w komponencie AbstractSingleSelectChoice (bazowym dla DropDownChoice). Domyślna opcja (null) jest zapisywana w markup bez escapowania, podczas gdy inne opcje są escapowane. Podatność dotyczy aplikacji, które nadpisują metody getNullValidDisplayValue() lub getNullKeyDisplayValue() i zwracają dane kontrolowane przez atakującego. Wersje od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0, od 10.0.0 do 10.10.0 są dotknięte.
- CVE-2026-76985Średnie
W Apache Wicket wykryto podatność na cross-site scripting (XSS) w komponencie AbstractOptions (renderującym listy opcji w Palette). Atrybuty i wartości zwracane przez getAdditionalAttributes są zapisywane bez escapowania. Podatność dotyczy aplikacji, które nadpisują metody getAdditionalAttributesForChoices, getAdditionalAttributesForSelection lub getAdditionalAttributes i zwracają dane kontrolowane przez atakującego. Wersje od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0, od 10.0.0 do 10.10.0 są dotknięte.
- CVE-2026-76984Średnie
W Apache Wicket w komponencie MetaDataHeaderItem nieprawidłowo neutralizowane są dane wejściowe podczas generowania stron. Atrybuty wartości w tagach <meta> i <link> nie są poprawnie escapowane, co pozwala na wstrzyknięcie dodatkowych atrybutów. Problem dotyczy wersji od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.10.0.
- CVE-2026-76982Średnie
Podatność XSS w Apache Wicket dotyczy komponentu Button renderowanego jako element <button>. Konstruktor czyści flagę escape-model-strings, przez co model nie jest kodowany przy zapisie do treści elementu, co pozwala na wstrzyknięcie znaczników HTML.
- CVE-2026-75802Średnie
Podatność XSS w Apache Wicket dotyczy komponentów AjaxEditableChoiceLabel, AjaxEditableLabel i AjaxEditableMultiLineLabel. Wartości wyświetlane przez etykiety nie są poprawnie escapowane, co pozwala atakującemu na wstrzyknięcie HTML lub skryptów. Problem występuje w wersjach 8.0.0-8.18.0, 9.0.0-9.23.0 oraz 10.0.0-10.10.0.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of input during web page generation in Apache Wicket. The <wicket:label> tag is provided by org.apache.wicket.markup.html.form.AutoLabelTextResolver, which is registered by default in every WebApplication. The resolver writes the label it finds into the markup as it is, and reads no escaping setting at all, so markup in a label is rendered as markup. When the label comes from the labelled component's label model, set through FormComponent#setLabel(IModel), it is written to the markup unescaped. An application is affected where the label of a form component holds data an attacker can influence. Wicket cannot determine where a model value comes from, so whether it reaches the page from a request or from storage is a property of the application. There is no workaround. Unlike every other rendering path in Wicket, the resolver never consulted the escape-model-strings setting, so an application had no way to ask for the label to be escaped. The body of a <wicket:label> tag is markup by design and is not affected; it remains the supported way to place markup in a label. This issue affects Apache Wicket: from 8.0.0 through 8.18.0, from 9.0.0 through 9.23.0, from 10.0.0 through 10.10.0. Older, unsupported releases from 1.5.0 onwards are also affected. Users are recommended to upgrade to version 8.19.0, 9.24.0 or 10.11.0, which fix the issue.