CVE-2026-70449

Apache Wicket'taki kaynak URL özniteliklerinin uygun şekilde doğrulanmaması, kimliği doğrulanmamış bir uzak saldırganın, servlet konteynerinin normalde sunmayacağı WEB-INF altındaki dosyalar da dahil olmak üzere web uygulamasından dosya okumasına olanak tanır. Bir paket kaynak URL'sinden çözümlenen yerel ayar (locale), stil ve varyasyon öznitelikleri, yol ayırıcıları kontrol edilmeden kaynak arama yoluna eklenir. İki amaçlanan kontrolden biri olan .. karakterlerini reddeden IPackageResourceGuard, bu öznitelikler eklenmeden önce kaynak adına uygulanır ve WebApplicationPath yalnızca kelime anlamıyla WEB-INF/ ile başlayan yolları reddeder. Her iki kontrol de yolun saldırgan tarafından kontrol edilen kısmını hiçbir zaman incelemez. ServletContext.getResource() içinde .. dizilerini normalize eden servlet konteynerlerinde, özel olarak hazırlanmış bir istek, hedeflenen paket dizinini aşar. Okunabilir dosyaların kümesi, yapılandırılmış IPackageResourceGuard tarafından izin verilen dosya uzantılarıyla sınırlıdır. Varsayılan SecurePackageResourceGuard; sadece js, css, png, jpg, jpeg, gif, ico, cur, map, html, txt, swf, bmp, svg, avif, eot, ttf, woff ve woff2 uzantılarına izin verir ve bu durum yapılandırma formatlarını hariç tutar. Koruyucuya desenler ekleyen veya onu kara liste tabanlı PackageResourceGuard ile değiştiren uygulamalar, ek olarak web.xml gibi yapılandırma dosyalarını ifşa edebilir. Uzantıdan bağımsız olarak, koruyucu çalışmadan önce gerçekleştirilen arama, rastgele yollar için bir varlık orakeli görevi görür. Bu sorun Apache Wicket 8.18.0 ve öncesini, 9.23.0 ve öncesini ve 10.10.0 ve öncesini etkilemektedir. Kullanıcıların sorunu gideren 8.19.0, 9.24.0 veya 10.11.0 sürümlerine yükseltme yapmaları önerilir. Artık desteklenmeyen Apache Wicket 7.x veya daha eski sürümleri kullananlar, desteklenen bir sürüme yükseltmelidir.