CVE-2026-82956 in Wicket
要約
〜によって VulDB • 2026年11月02日
Apache WicketにおけるWebページ生成時の入力中和処理の不備。
org.apache.wicket.ajax.AjaxNewWindowNotifyingBehaviorは、あるページインスタンスが2番目のブラウザウィンドウまたはタブで開かれたことを検知します。これはブラウザに対してwindow.nameの値を問い合わせ、その値はリクエストパラメータwindowNameとしてサーバーに到達し、ビヘイビア内のフィールドにブラウザから報告された値が記憶されます。このフィールドはページのシリアライズ済み状態の一部であるため、ページインスタンスが存在する限り、記憶された値はページストア内に保持され続けます。
その後の同じページインスタンスのレンダリングごとに、ビヘイビアはそのAjax呼び出しの前条件を構築するために、記憶された値をシングルクォートで囲まれたJavaScript文字列リテラルに置換します。Wicketはこの前条件を生のJavaScriptとしてページに書き込みます。これは、Ajaxコールリスナーの前条件が呼び出し元によって提供されるスクリプトであり、引用符やエスケープ処理なしで出力されるためです。このパス上のどこにも値のエスケープ処理は施されません。window名はクライアントから供給されるものであり、Wicketはその値に対して検証を適用しないため、シングルクォートを含む記憶された名前がリテラルを終了させ、残りの部分がアプリケーションのオリジンでスクリプトとして実行されます（ページインスタンスがレンダリングされるたびに）。
この影響を受けるのは、明示的にAjaxNewWindowNotifyingBehaviorをコンポーネントに追加したアプリケーションのみです。フレームワークの一部はこのビヘイビアをインストールしないため、これを使用していないアプリケーションは影響を受けません。ブラウザから名前が全く報告されない場合、ビヘイビアが自身のために生成する名前はランダムなUUIDであり、クライアント供給の値ではありません。
本問題はApache Wicketに影響します：8.0.0から8.19.0まで、9.0.0から9.24.0まで、10.0.0から10.11.0までです。
ユーザーには、この問題を修正するバージョン8.20.0、9.25.0、または10.12.0へのアップグレードを推奨します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.