CVE-2026-76984
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W Apache Wicket w komponencie MetaDataHeaderItem nieprawidłowo neutralizowane są dane wejściowe podczas generowania stron. Atrybuty wartości w tagach <meta> i <link> nie są poprawnie escapowane, co pozwala na wstrzyknięcie dodatkowych atrybutów. Problem dotyczy wersji od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.10.0.
Ocena ryzyka
Jeśli aplikacja przekazuje wartości atrybutów zawierające dane kontrolowane przez atakującego, może dojść do wstrzyknięcia HTML, co może prowadzić do ataków typu XSS lub modyfikacji wygenerowanej strony.
Rekomendacja
Zaleca się aktualizację do wersji 8.19.0, 9.24.0 lub 10.11.0, które zawierają poprawkę. Należy również unikać przekazywania wartości atrybutów zawierających cudzysłowy.
Inne podatności w Apache Wicket
Zobacz wszystkie- CVE-2026-43646Wysokie
W Apache Wicket występuje podatność na ujawnienie wrażliwych informacji osobom nieuprawnionym. Dotyczy to wersji od 8.0.0 do 8.17.0, od 9.0.0 do 9.22.0 oraz od 10.0.0 do 10.8.0.
- CVE-2014-3526Wysokie
Apache Wicket w wersjach przed 1.5.12, 6.x przed 6.17.0 oraz 7.x przed 7.0.0-M3 może umożliwić zdalnym atakującym uzyskanie wrażliwych informacji poprzez identyfikatory używane do przechowywania znaczników stron dla tymczasowych sesji użytkowników.
- CVE-2016-6806Wysokie
Apache Wicket w wersjach 6.x przed 6.25.0, 7.x przed 7.5.0 oraz 8.0.0-M1 zawiera lukę w zabezpieczeniach, która nieprawidłowo obsługuje zapobieganie atakom CSRF, nie wykrywając niektórych żądań z innych źródeł. Problem dotyczy również braku sprawdzania niektórych celów po stronie serwera Wicket.
- CVE-2014-7808Wysokie
Apache Wicket w wersjach przed 1.5.13, 6.x przed 6.19.0 oraz 7.x przed 7.0.0-M5 ułatwia atakującym pokonanie mechanizmu ochrony kryptograficznej i przewidywanie zaszyfrowanych adresów URL, wykorzystując CryptoMapper jako domyślnego dostawcę szyfrowania.
- CVE-2016-6793Krytyczne
Klasa DiskFileItem w Apache Wicket w wersjach 6.x przed 6.25.0 oraz 1.5.x przed 1.5.17 umożliwia zdalnym atakującym wywołanie odmowy usługi (nieskończona pętla) oraz zapis, przenoszenie i usuwanie plików z uprawnieniami DiskFileItem. Dodatkowo, jeśli działa na maszynie wirtualnej Java przed wersją 1.3.1, może wykonywać dowolny kod za pomocą spreparowanego zserializowanego obiektu Java.
- CVE-2026-76986Średnie
W Apache Wicket wykryto podatność na cross-site scripting (XSS) w komponencie AbstractSingleSelectChoice (bazowym dla DropDownChoice). Domyślna opcja (null) jest zapisywana w markup bez escapowania, podczas gdy inne opcje są escapowane. Podatność dotyczy aplikacji, które nadpisują metody getNullValidDisplayValue() lub getNullKeyDisplayValue() i zwracają dane kontrolowane przez atakującego. Wersje od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0, od 10.0.0 do 10.10.0 są dotknięte.
- CVE-2026-76985Średnie
W Apache Wicket wykryto podatność na cross-site scripting (XSS) w komponencie AbstractOptions (renderującym listy opcji w Palette). Atrybuty i wartości zwracane przez getAdditionalAttributes są zapisywane bez escapowania. Podatność dotyczy aplikacji, które nadpisują metody getAdditionalAttributesForChoices, getAdditionalAttributesForSelection lub getAdditionalAttributes i zwracają dane kontrolowane przez atakującego. Wersje od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0, od 10.0.0 do 10.10.0 są dotknięte.
- CVE-2026-76983Średnie
W Apache Wicket tag <wicket:label> jest renderowany bez escapowania, co pozwala na wstrzyknięcie znaczników HTML, jeśli etykieta pochodzi z modelu zawierającego dane kontrolowane przez atakującego. Problem dotyczy wersji od 8.0.0 do 8.18.0, od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.10.0.
- CVE-2026-76982Średnie
Podatność XSS w Apache Wicket dotyczy komponentu Button renderowanego jako element <button>. Konstruktor czyści flagę escape-model-strings, przez co model nie jest kodowany przy zapisie do treści elementu, co pozwala na wstrzyknięcie znaczników HTML.
- CVE-2026-75802Średnie
Podatność XSS w Apache Wicket dotyczy komponentów AjaxEditableChoiceLabel, AjaxEditableLabel i AjaxEditableMultiLineLabel. Wartości wyświetlane przez etykiety nie są poprawnie escapowane, co pozwala atakującemu na wstrzyknięcie HTML lub skryptów. Problem występuje w wersjach 8.0.0-8.18.0, 9.0.0-9.23.0 oraz 10.0.0-10.10.0.
Oryginalny opis (angielski, źródło NVD)
Improper neutralization of input during web page generation in Apache Wicket. org.apache.wicket.markup.head.MetaDataHeaderItem generates <meta> and <link> header tags. It escaped the attribute names it wrote, but ran the attribute values through a replacement of " with \". A backslash before a double quote means nothing in HTML, so a value containing a double quote ends its own attribute and what follows is parsed as further attributes of the generated tag. An application is affected where it supplies an attribute value holding data an attacker can influence, through addTagAttribute or the forMetaTag and forLinkTag factory methods. A value may be given as an IModel, so it is not necessarily a literal. There is no setting to change; an application can only avoid supplying a value that contains a double quote. Note that these values have never been escaped effectively: before the change released in 6.24.0, 7.4.0 and 8.0.0 they were written with no escaping at all. This issue affects Apache Wicket: from 8.0.0 through 8.18.0, from 9.0.0 through 9.23.0, from 10.0.0 through 10.10.0. Older, unsupported releases from 6.17.0 onwards are also affected. Users are recommended to upgrade to version 8.19.0, 9.24.0 or 10.11.0, which fix the issue.