CVE-2026-82558 in Wicket
요약
\~에 의해 VulDB • 2026. 11. 01.
Apache Wicket에서 인증 누락 발생.
org.apache.wicket.protocol.ws.api.WebSocketBehavior는 Wicket의 네이티브 WebSocket 지원을 통해 클라이언트가 보낸 메시지를 애플리케이션에 전달하며, 해당 동작은 연결된 컴포넌트를 호출할 수 있는지 여부를 확인하지 않고 onMessage() 콜백을 실행합니다. Wicket은 페이지당 단일 WebSocket 연결을 열며, 여기서 수신된 메시지는 해당 페이지의 모든 WebSocketBehavior로 전달됩니다. Ajax 행동(Ajax behavior)의 경우 Wicket은 Behavior#canCallListener(Component)를 통해 호출 전에 이 검사를 수행하며, 이는 표시되지 않거나 비활성화된 컴포넌트나 IAuthorizationStrategy가 RENDER 또는 ENABLE 작업을 거부하는 컴포넌트를 거절합니다. 따라서 이러한 컴포넌트(또는 그 하위 요소)에 연결된 WebSocketBehavior는 클라이언트의 텍스트 및 바이너리 메시지를 수신하며, 동일한 컴포넌트에 있는 Ajax 행동은 거절되었을 때에도 WebSocketRequestHandler를 통해 해당 클라이언트로 응답을 작성할 수 있습니다.
애플리케이션이 IAuthorizationStrategy(예: MetaDataRoleAuthorizationStrategy 또는 AuthorizeAction 어노테이션)를 사용하여 숨기거나 비활성화하거나 제한하는 컴포넌트에 onMessage()를 재정의한 WebSocketBehavior를 연결하면 영향을 받습니다. 클라이언트는 자신만의 세션과 해당 컴포넌트를 포함하는 자신만의 페이지가 필요합니다. 메시지는 클라이언트 자신의 세션의 페이지 저장소(page store)에 있는 페이지만으로 전달되므로, 이는 다른 사용자의 세션, 페이지 또는 연결에는 접근할 수 없습니다. 서버에서 푸시되는 메시지는 영향을 받지 않습니다.
이 문제는 Apache Wicket 8.0.0부터 8.19.0까지, 9.0.0부터 9.24.0까지, 10.0.0부터 10.11.0까지의 버전에서 발생합니다. 6.0.0 이상의 이전 지원 종료 릴리스도 영향을 받습니다. 사용자는 이 문제를 수정한 버전 8.20.0, 9.25.0 또는 10.12.0으로 업그레이드하는 것이 권장됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.