CVE-2026-76983

Apache Wicket-də veb səhifənin generasiyası zamanı giriş məlumatlarının yanlış neytrallaşdırılması. <wicket:label> teqi hər bir WebApplication-da standart olaraq qeydiyyata alınan org.apache.wicket.markup.html.form.AutoLabelTextResolver tərəfindən təmin edilir. Resolver tapdığı etiketi olduğu kimi markapa yazır və heç bir escape (simvolların əvəzlənməsi) parametrinə baxmır, buna görə də etiketdəki marka kodu marka kimi render edilir. Etiket, FormComponent#setLabel(IModel) vasitəsilə təyin edilmiş komponentin etiket modelindən gəldikdə, o, markapa escape edilmədən yazılır. Form komponentinin etiketi hücum edənin təsir edə biləcəyi məlumatları saxladığı hallarda tətbiq risk altındadır. Wicket model dəyərinin haradan gəldiyini müəyyən edə bilmir, ona görə də onun sorğudan və ya yaddaşdan səhifəyə çatması tətbiqin öz xüsusiyyətidir. Heç bir alternativ həll yolu yoxdur. Wicket-dəki digər bütün render yolları ilə fərqli olaraq, resolver heç vaxt escape-model-strings parametrini nəzərə almamışdır, buna görə də tətbiqin etiketin escape edilməsini tələb etmək imkanı olmayıb. <wicket:label> teqinin gövdəsi dizayn etibarilə markadır və bu problemdən təsirlənmir; o, etiketə marka yerləşdirməyin dəstəklənən üsulu olaraq qalır. Bu problem Apache Wicket-in aşağıdakı versiyalarına təsir edir: 8.0.0-dan 8.18.0-a qədər, 9.0.0-dan 9.23.0-a qədər, 10.0.0-dan 10.10.0-a qədər. Həmçinin 1.5.0-dan başlayaraq köhnə, dəstəklənməyən versiyalar da təsirlənmişdir. İstifadəçilərə problemi aradan qaldıran 8.19.0, 9.24.0 və ya 10.11.0 versiyalarına yeniləmək tövsiyə olunur.