CVE-2026-76986

Apache Wicket'ta web sayfası oluşturma sırasında girdilerin uygun şekilde etkisiz hale getirilmemesi. DropDownChoice'un temel sınıfı olan org.apache.wicket.markup.html.form.AbstractSingleSelectChoice, hiçbir seçim yapılmadığında gösterilen giriş olan varsayılan seçeneğin gövdesini işaretlemeye olduğu gibi yazarken, aynı select içindeki diğer tüm seçenek gövdeleri escape-model-strings ayarına göre kaçırılır (escaped). Gövde, her ikisi de protected olan getNullValidDisplayValue() veya getNullKeyDisplayValue() fonksiyonlarından gelir; bu nedenle döndürdükleri değerler, varsayılan uygulamanın bir kaynak paketinden okuduğu düz metin olmak zorunda değildir. Bir uygulama, bu yöntemlerden birini geçersiz kılıp (override) saldırganın etkileyebileceği veriler içeren bir değer döndürdüğünde veya kendi nullValid ya da null paket girişi böyle bir değer içerdiğinde etkilenir. Wicket ile birlikte gelen paketler düz metin içerir. RadioChoice, herhangi bir varsayılan seçenek yayınlamamak için getDefaultChoice yöntemini geçersiz kılar ve etkilenmez. Geçici bir çözüm olarak, geçersiz kılma işleminde değeri kaçırın (escape). Bu sorun şu Apache Wicket sürümlerini etkilemektedir: 8.0.0'dan 8.18.0'a kadar, 9.0.0'dan 9.23.0'a kadar, 10.0.0'dan 10.10.0'a kadar. 1.5.0'dan itibaren desteklenmeyen eski sürümler de etkilenmektedir. Kullanıcıların sorunu gideren 8.19.0, 9.24.0 veya 10.11.0 sürümlerine yükseltmeleri önerilir.