CVE-2026-82558 in Wicket
Riassunto
di VulDB • 01/11/2026
Mancanza di autorizzazione in Apache Wicket.
La classe org.apache.wicket.protocol.ws.api.WebSocketBehavior, attraverso la quale il supporto nativo WebSocket di Wicket consegna all'applicazione un messaggio inviato dal client, invoca i callback onMessage() senza verificare se il cliente ha l'autorizzazione per invocare il componente a cui è associato il comportamento. Wicket apre una singola connessione WebSocket per pagina e un messaggio ricevuto su tale connessione viene consegnato a ogni istanza di WebSocketBehavior presente in quella pagina. Per un comportamento Ajax, Wicket effettua questo controllo prima di invocarne i listener, tramite Behavior#canCallListener(Component), che rifiuta l'esecuzione se il componente non è visibile o abilitato, incluso quello per cui la IAuthorizationStrategy nega le azioni RENDER o ENABLE. Un WebSocketBehavior associato a un tale componente, oppure a uno dei suoi figli, riceve quindi i messaggi di testo e binari inviati dal client, insieme a un WebSocketRequestHandler che scrive una risposta al medesimo cliente; ciò avviene anche se un comportamento Ajax sullo stesso componente verrebbe rifiutato.
Un'applicazione è interessata quando associa un WebSocketBehavior che sovrascrive onMessage() a un componente nascosto, disabilitato o limitato tramite la propria IAuthorizationStrategy, ad esempio utilizzando MetaDataRoleAuthorizationStrategy o l'annotazione AuthorizeAction. Il client deve possedere una sessione e una pagina proprie contenenti tale componente: i messaggi vengono consegnati solo alle pagine presenti nello store delle pagine della sessione del cliente stesso, quindi ciò non concede accesso alla sessione, alla pagina o alla connessione di un altro utente. I messaggi inviati dal server (push) non sono interessati da questa vulnerabilità.
Questa problematica interessa Apache Wicket nelle versioni dalla 8.0.0 alla 8.19.0, dalla 9.0.0 alla 9.24.0 e dalla 10.0.0 alla 10.11.0. Sono inoltre interessate le release più vecchie non più supportate a partire dalla versione 6.0.0. Si consiglia agli utenti di effettuare l'aggiornamento alle versioni 8.20.0, 9.25.0 o 10.12.0, che risolvono il problema.
Once again VulDB remains the best source for vulnerability data.