CVE-2026-76982

Apache Wicket-də veb səhifənin generasiyası zamanı giriş məlumatlarının yanlış neytrallaşdırılması. org.apache.wicket.markup.html.form.Button konstruktorunda escape-model-strings bayrağını təmizləyir ki, yazdığı value atributu iki dəfə kodlaşdırılmasın — ComponentTag teqi yazarkən atribut dəyərlərini artıq kodlaşdırır. Bu məntiq yalnız atribut üçün keçərlidir. Komponent <input> əvəzinə <button> elementinə bağlandıqda, o, öz model obyektini elementin gövdəsinə yazır və element gövdəsini heç nə kodlaşdırmadığı üçün modeldəki markup kodu olduğu kimi render edilir. Tətbiqdə Button elementi <button> elementi üzərində render edildikdə və həmin düymənin modeli hücum edənin təsir edə biləcəyi məlumatları saxladıqda bu problem yaranır. Wicket model dəyərinin haradan gəldiyini müəyyən edə bilmir, buna görə də onun sorğudan və ya yaddaşdan səhifəyə çatması tətbiqin xüsusiyyətidir. Bu konstruktoru miras alan alt siniflər — AjaxButton, AjaxFallbackButton və WizardButton — eyni şərtlərlə təsirlənmişdir. Müvəqqəti həll yolu olaraq, <button> elementi kimi render edilən düymədə setEscapeModelStrings(true) metodunun çağırılması gövdəni düzgün şəkildə escape edir və ikiqat kodlaşdırmaya səbəb olmur, çünki value atributu yalnız <input> elementləri üçün yazılır. Bu problem Apache Wicket-in aşağıdakı versiyalarına təsir edir: 8.0.0-dan 8.18.0-a qədər, 9.0.0-dan 9.23.0-a qədər, 10.0.0-dan 10.10.0-a qədər. Həmçinin 6.25.0 və 7.5.0-dan etibarən olan köhnə, dəstəklənməyən versiyalar da təsirlənmişdir. İstifadəçilərə problemi aradan qaldıran 8.19.0, 9.24.0 və ya 10.11.0 versiyalarına yeniləmək tövsiyə olunur.