CVE-2026-83539 in Wicket
Zusammenfassung
von VulDB • 02.11.2026
Unzulässige Neutralisierung von Eingaben während der Generierung von Webseiten in Apache Wicket.
Die Klassen `org.apache.wicket.extensions.markup.html.basic.SmartLinkLabel` und `org.apache.wicket.extensions.markup.html.basic.SmartLinkMultiLineLabel` zeigen einen Textwert an und wandeln jede darin gefundene URL in einen Hyperlink um. Beide escapen den Modellwert und übergeben dann den escapierten Text an `org.apache.wicket.extensions.markup.html.basic.DefaultLinkParser`, der nach Mustern im Format `Schemata://Rest` sucht und jedes Übereinstimmungsergebnis mit einem Anker-Tag (`<a>`) umschließt, dessen `href`-Attribut dem übereinstimmenden Text entspricht, wie er ist. Das Muster akzeptiert beliebige Schemata, und es gibt keine Liste zulässiger Schemata auf dem gesamten Pfad. Ein Textwert, der ein Skript ausführendes Schema benennt, wird daher zu einem Anker, der dieses Skript im Ursprungsbereich (Origin) der Anwendung sowie in der eigenen Sitzung des Lesers ausführt, wenn dieser den Link aktiviert. Das reine Rendern der Seite reicht nicht aus; der Link muss aktiviert werden. Das Escaping verhindert dies nicht und ist auch nicht das Problem: Die vom Payload benötigten Zeichen sind alle gültig in einer URL und werden von `org.apache.wicket.util.string.Strings#escapeMarkup()` unangetastet gelassen, und der Wert landet schließlich in einer URL statt im Elementtext, was ein Kontext ist, in dem das Escaping von Modelldaten nicht für Sicherheit sorgt.
Eine Anwendung ist betroffen, wenn sie Text rendert, den sie über eine dieser beiden Komponenten empfängt. Genau dafür sind diese gedacht: Sie dienen dazu, E-Mail-Adressen und Web-URLs, die in den Daten gefunden werden, die die Anwendung anzeigt, zu verlinken (Linkify). Unvertrauete Eingaben sind also der Zweck des Features und kein Missbrauch desselben; es ist keine ungewöhnliche Konfiguration involviert. Keine andere Komponente verwendet diesen Parser, und eine Anwendung, die weder `SmartLinkLabel` noch `SmartLinkMultiLineLabel` nutzt, ist nicht betroffen.
In den Versionen 9.x und 10.x lässt die standardmäßig von Wicket gesendete Content-Security-Policy (CSP) Skripte nur aus einer Quelle zu, die einen pro-Antwort-Nonce trägt, und eine URL mit einem skriptausführenden Schema kann keinen solchen Nonce tragen; daher stoppt diese Standardrichtlinie das Ausführen des Skripts. Dies ist eine Eigenschaft der Standardrichtlinie und nicht der Komponenten selbst. Eine Anwendung, deren Content-Security-Policy aus diesem oder einem anderen, unabhängigen Grund abgeschwächt oder deaktiviert wurde, ist vollständig betroffen. Wicket 8.x unterstützt überhaupt keine Content-Security-Policy und ist daher in seiner aktuellen Form betroffen.
Dieses Problem betrifft Apache Wicket: von Version 8.0.0 bis 8.19.0, von 9.0.0 bis 9.24.0 sowie von 10.0.0 bis 10.11.0. Nutzer von Apache Wicket 7.x oder älter, die nicht mehr unterstützt werden, sollten auf eine unterstützte Version upgraden. Es wird empfohlen, auf die Versionen 8.20.0, 9.25.0 oder 10.12.0 zu aktualisieren, welche das Problem beheben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.