JVNDB-2026-031393

Apache Software FoundationのApache Wicketにおけるクロスサイトスクリプティングの脆弱性

Apache WicketにおけるWebページ生成時の入力の不適切な無害化の問題です。DropDownChoiceの基底クラスであるorg.apache.wicket.markup.html.form.AbstractSingleSelectChoiceは、選択肢が選ばれていないときに表示されるデフォルトオプションの本文を、そのままマークアップに書き込みます。一方で、同じselect内の他のオプションの本文はescape-model-strings設定に従ってエスケープされます。この本文はgetNullValidDisplayValue()またはgetNullKeyDisplayValue()から取得されますが、どちらもprotectedメソッドであるため、返される値は必ずしもデフォルト実装のようにリソースバンドルから読み取るプレーンテキストとは限りません。これらのメソッドのいずれかをオーバーライドし、攻撃者が操作可能なデータを含む値を返す場合、またはnullValidやnullバンドルエントリがそのような値を保持している場合、アプリケーションが影響を受けます。Wicketに同梱されているバンドルはプレーンテキストを含みます。RadioChoiceはgetDefaultChoiceをオーバーライドしてデフォルトオプションを表示しないため、影響を受けません。回避策としては、オーバーライドしたメソッド内で値をエスケープしてください。この問題はApache Wicketのバージョン8.0.0から8.18.0、9.0.0から9.23.0、10.0.0から10.10.0までに影響があります。さらに、1.5.0以降の古いサポート外リリースも影響を受けます。ユーザーには、この問題を修正したバージョン8.19.0、9.24.0、10.11.0へのアップグレードを推奨します。

Apache Software Foundation

• Apache Wicket 10.0.0 以上 10.11.0 未満
• Apache Wicket 8.0.0 以上 8.19.0 未満
• Apache Wicket 9.0.0 以上 9.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-76986: Apache Wicket: XSS in AbstractSingleSelectChoice via getNullValidDisplayValue-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-76986: Apache Wicket: XSS in AbstractSingleSelectChoice via getNullValidDisplayValue

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-76986

1. National Vulnerability Database (NVD) : CVE-2026-76986

• [2026年09月02日]
    掲載