CVE-2026-71378

ResourceIsolationRequestCycleListener, bir kaynak izolasyon politikasının başka bir kökenden geldiğine karar verdiği istekleri reddederek bir Wicket uygulamasını siteler arası istek sahteciliğine (CSRF) karşı korur. Varsayılan politikası olan FetchMetadataResourceIsolationPolicy, statik kaynakları korumak için yazılmış bir referans uygulamadan türetilmiştir ve korunan şey bir sayfa üzerindeki eylem olduğunda güvensiz olan iki izni devralmıştır: * Her "basit üst düzey gezinti"ye izin verilmiştir. Sec-Fetch-Dest değeri ne object ne de embed olan ve Sec-Fetch-Mode: navigate taşıyan tüm GET isteklerine, Sec-Fetch-Site değerine bakılmaksızın (siteler arası olsa dahi) izin verilmiştir. Wicket; bileşen dinleyicilerini (Link.onClick(), form gönderimleri, davranış geri çağırmaları) sıradan GET gezintileri aracılığıyla çağırır, bu nedenle saldırganın kontrolündeki bir sayfa, kurbanın tarayıcısını bir dinleyici URL'sine yönlendirebilir ve bu dinleyicinin kurbanın kimliği doğrulanmış oturumu içinde çalışmasını sağlayabilir. Tarayıcılar, herhangi bir SameSite özniteliği ayarlanmadığında geçerli varsayılan olan SameSite=Lax çerezlerini siteler arası üst düzey GET gezintilerinde gönderir, böylece kurbanın oturum çerezi isteğe eşlik eder. * Sec-Fetch-Site: same-site koşulsuz olarak kabul edilmiştir. Bu değer aynı kaydedilebilir alan adı ve şema ancak farklı bir köken (başka bir alt alan adı veya başka bir port) anlamına gelir. Bu nedenle, herhangi bir kardeş köken, POST form gönderimleri dahil olmak üzere herhangi bir yöntemle herhangi bir dinleyiciyi çağırabilir ve SameSite değerinden bağımsız olarak same-site isteklerinde çerezler her zaman gönderilir. Alt alan adı ele geçirme, delegasyon yoluyla kullanıcı içeriği veya sitedeki başka bir yerdeki XSS aracılığıyla elde edilen kötü niyetli bir kardeş köken, kimliği doğrulanmış kullanıcı gibi hareket edebilir. Kullanıcıların sorunu gideren 9.24.0 veya 10.11.0 sürümüne yükseltmeleri önerilir. Etkilenen sürümler: * Apache Wicket 9.1.0 ile 9.23.0 arası * Apache Wicket 10.0.0 ile 10.10.0 arası Etkilenmeyenler: 9.1.0'dan daha eski herhangi bir sürüm: * Apache Wicket 8.x (8.0.0 ile 8.17.0 arası). Kaynak izolasyon sınıfları, yalnızca Origin/Referer tabanlı CsrfPreventionRequestCycleListener sunan 8.x serisinde mevcut değildir. Hiçbir 8.x sürümü düzeltme gerektirmez. * Apache Wicket 9.0.0. ResourceIsolationRequestCycleListener ve FetchMetadataResourceIsolationPolicy, WICKET-6786 ile tanıtılmış ve ilk kez 9.1.0 sürümünde (07-10-2020 tarihinde yayınlandı) sunulmuştur.