CVE-2026-71378

ResourceIsolationRequestCycleListener, resurs izolyasiya siyasətinin başqa mənşədən gəldiyini müəyyən etdiyi sorğuları rədd edərək Wicket tətbiqini saytlararası sorğu saxtakarlığından (CSRF) qoruyur. Onun standart siyasəti olan FetchMetadataResourceIsolationPolicy, statik resursları qorumaq üçün yazılmış istinad implementasiyasından törəmişdir və qorunan element səhifədəki bir hərəkət olduqda təhlükəli olan iki icazəni miras almışdır: * Hər bir "sadə yuxarı səviyyəli naviqasiyaya" (simple top-level navigation) icazə verilirdi. Sec-Fetch-Dest parametri nə object, nə də embed olan və Sec-Fetch-Mode: navigate daşıyan hər hansı GET sorğusuna, Sec-Fetch-Site parametrindən asılı olmayaraq — o cümlədən cross-site olsa belə — icazə verilirdi. Wicket komponent dinləyicilərini (Link.onClick(), form göndərişləri, behaviour callback-ləri) adi GET naviqasiyaları vasitəsilə çağırır, buna görə də hücumçunun nəzarətində olan bir səhifə qurbanın brauzerini dinləyici URL-nə yönləndirə bilər və həmin dinləyicinin qurbanın autentifikasiya olunmuş sessiyasında işləməsini təmin edə bilər. Brauzerlər, heç bir SameSite atributu təyin edilmədikdə effektiv standart olan SameSite=Lax kukilərini cross-site yuxarı səviyyəli GET naviqasiyalarında göndərdiyi üçün qurbanın sessiya kukisi sorğuya əlavə olunurdu. * Sec-Fetch-Site: same-site şərtsiz olaraq icazə verilirdi. Bu dəyər eyni qeydiyyata alınmış domen və sxem, lakin fərqli mənşə — digər alt domen və ya digər port deməkdir. Buna görə də hər hansı bacı mənşə (sibling origin), POST form göndərişləri daxil olmaqla, hər hansı metodla hər hansı dinləyicini çağıra bilərdi və SameSite-dən asılı olmayaraq same-site sorğularında kukilər həmişə göndərilir. Alt domen ələ keçirmə, nümayəndə edilmiş istifadəçi məzmunu və ya saytın başqa yerindəki XSS vasitəsilə əldə edilmiş düşmən bacı mənşə autentifikasiya olunmuş istifadəçi kimi çıxış edə bilərdi. İstifadəçilərə problemi aradan qaldıran 9.24.0 və ya 10.11.0 versiyasına yeniləmək tövsiyə olunur. Təsirə məruz qalan versiyalar: * Apache Wicket 9.1.0 - 9.23.0 arası * Apache Wicket 10.0.0 - 10.10.0 arası Təsirə məruz qalmayanlar: 9.1.0-dan daha köhnə olan bütün buraxılışlar: * Apache Wicket 8.x (8.0.0 - 8.17.0 arası). Resurs izolyasiyası sinifləri yalnız Origin/Referer əsaslı CsrfPreventionRequestCycleListener təklif edən 8.x seriyasında mövcud deyil. Heç bir 8.x buraxılışı düzəliş tələb etmir. * Apache Wicket 9.0.0. ResourceIsolationRequestCycleListener və FetchMetadataResourceIsolationPolicy WICKET-6786 ilə təqdim edilmiş və ilk dəfə 9.1.0 versiyasında (2020-10-07 tarixində buraxılıb) təqdim olunmuşdur.