CVE-2026-76982

Apache Wicket'ta web sayfası oluşturma sırasında girdilerin uygun şekilde etkisiz hale getirilmemesi. org.apache.wicket.markup.html.form.Button sınıfı, yazdığı value özniteliğinin iki kez kodlanmaması için kurucu metodunda escape-model-strings bayrağını temizler; çünkü ComponentTag etiketi yazarken öznitelik değerlerini zaten kodlamaktadır. Bu mantık yalnızca öznitelikler için geçerlidir. Bileşen bir <input> yerine <button> öğesine bağlandığında, model nesnesini bunun yerine öğe gövdesine yazar ve hiçbir şey öğe gövdesini kodlamaz, bu nedenle modeldeki işaretleme (markup), işaretleme olarak işlenir. Bir uygulama, bir Button bileşenini <button> öğesi üzerinde işlediğinde ve bu butonun modeli saldırganın etkileyebileceği veriler içerdiğinde etkilenir. Wicket, bir model değerinin nereden geldiğini belirleyemez, dolayısıyla sayfaya bir istekten mi yoksa depolamadan mı ulaştığı uygulamanın bir özelliğidir. Bu kurucu metodu miras alan alt sınıflar — AjaxButton, AjaxFallbackButton ve WizardButton — aynı koşullarda etkilenmektedir. Geçici bir çözüm olarak, <button> öğesi olarak işlenen bir buton üzerinde setEscapeModelStrings(true) metodunun çağrılması, gövdeyi doğru şekilde kaçırır (escape) ve çift kodlamaya neden olmaz; çünkü value özniteliği yalnızca <input> öğeleri için yazılır. Bu sorun şu Apache Wicket sürümlerini etkilemektedir: 8.0.0 ile 8.18.0 arası, 9.0.0 ile 9.23.0 arası, 10.0.0 ile 10.10.0 arası. Ayrıca 6.25.0 ve 7.5.0'dan itibaren olan eski, desteklenmeyen sürümler de etkilenmektedir. Kullanıcıların sorunu gideren 8.19.0, 9.24.0 veya 10.11.0 sürümlerine yükseltme yapmaları önerilir.