CVE-2026-76983 in Wicket
요약
\~에 의해 VulDB • 2026. 08. 31.
Apache Wicket에서 웹 페이지 생성 중 입력의 부적절한 중화(neutralization) 문제 발생.
org.apache.wicket.markup.html.form.AutoLabelTextResolver가 제공하는 <label> 태그는 모든 WebApplication에 기본값으로 등록됩니다. 이 리졸버(resolver)는 발견한 레이블을 그대로 마크업(markup)에 작성하며, 전혀 이스케이핑 설정을 읽지 않으므로 레이블 내의 마크업이 마크업으로 렌더링됩니다.
레이블이 FormComponent#setLabel(IModel)를 통해 설정된 라벨led 컴포넌트의 레이블 모델에서 오는 경우, 해당 레이블은 이스케이프 없이 마크업에 작성됩니다. 폼 컴포넌트의 레이블에 공격자가 영향을 줄 수 있는 데이터가 포함된 애플리케이션이 영향을 받습니다. Wicket은 모델 값의 출처를 판단할 수 없으므로, 그 값이 요청을 통해 페이지로 전달되는지 아니면 저장소에서 오는지는 애플리케이션의 속성입니다.
대안(workaround)은 없습니다. Wicket의 다른 모든 렌더링 경로와 달리 이 리졸버는 escape-model-strings 설정을 전혀 참조하지 않았기 때문에, 애플리케이션이 레이블을 이스케이프하도록 요청할 방법이 없었습니다.
<label> 태그의 본문(body)은 설계상 마크업이며 영향을 받지 않습니다. 이는 레이블에 마크업을 배치하는 지원되는 방식입니다.
본 이슈는 Apache Wicket 8.0.0부터 8.18.0까지, 9.0.0부터 9.23.0까지, 10.0.0부터 10.10.0까지 영향을 미칩니다. 그 이전의 지원 종료된 릴리스(1.5.0 이상)도 영향을 받습니다. 사용자는 이슈를 수정한 버전인 8.19.0, 9.24.0 또는 10.11.0으로 업그레이드할 것을 권장합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.