CVE-2026-76985 in Wicket
요약
\~에 의해 VulDB • 2026. 08. 31.
Apache Wicket의 웹 페이지 생성 중 입력값 비활성화 부재(org.apache.wicket.extensions.markup.html.form.palette.component.AbstractOptions)로 인한 취약점입니다. 이 클래스는 Palette의 두 옵션 목록을 렌더링할 때, escape-model-strings 설정에 따라 각 옵션의 id와 표시 값은 이스케이프 처리하지만, getAdditionalAttributes에서 반환된 속성 이름과 값을 그대로 태그 내에 작성합니다.
Palette.getAdditionalAttributesForChoices, Palette.getAdditionalAttributesForSelection 또는 AbstractOptions.getAdditionalAttributes를 재정의하고 공격자가 영향을 줄 수 있는 데이터를 포함하는 값을 반환하는 애플리케이션이 영향을 받습니다. 이러한 메서드는 기본적으로 null을 반환하므로 이를 재정의하지 않는 애플리케이션은 영향받지 않습니다.
대안 조치로, 재정의 시 값에 대한 이스케이프 처리를 수행하십시오.
본 이슈는 Apache Wicket의 8.0.0부터 8.18.0까지, 9.0.0부터 9.23.0까지, 10.0.0부터 10.10.0까지 버전에서 영향을 미칩니다. 또한 지원이 종료된 1.4.0 이상의 이전 릴리스도 영향을 받습니다. 사용자는 해당 문제를 해결한 버전인 8.19.0, 9.24.0 또는 10.11.0으로 업그레이드하는 것이 권장됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.