JVNDB-2026-031394

Apache Software FoundationのApache Wicketにおけるクロスサイトスクリプティングの脆弱性

Apache Wicketにおけるウェブページ生成時の入力の不適切な無害化に関する問題です。Paletteの二つのオプションリストをレンダリングするorg.apache.wicket.extensions.markup.html.form.palette.component.AbstractOptionsは、escape-model-strings設定に従って各オプションのidと表示値をエスケープし、getAdditionalAttributesで返された属性名と値をそのまま＜option＞タグに書き込みます。アプリケーションがPalette.getAdditionalAttributesForChoices、Palette.getAdditionalAttributesForSelection、またはAbstractOptions.getAdditionalAttributesをオーバーライドし、攻撃者が操作可能なデータを含む値を返す場合に影響を受けます。これらのメソッドはデフォルトでnullを返すため、オーバーライドしていないアプリケーションは影響を受けません。回避策として、オーバーライド時に値を適切にエスケープしてください。この問題はApache Wicketのバージョン8.0.0から8.18.0、9.0.0から9.23.0、10.0.0から10.10.0に影響します。さらに、1.4.0以降の古いサポートされていないリリースも影響を受けます。ユーザーはこの問題を修正したバージョン8.19.0、9.24.0、または10.11.0にアップグレードすることを推奨します。

Apache Software Foundation

• Apache Wicket 10.0.0 以上 10.11.0 未満
• Apache Wicket 8.0.0 以上 8.19.0 未満
• Apache Wicket 9.0.0 以上 9.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-76985: Apache Wicket: XSS in Palette via getAdditionalAttributes-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-76985: Apache Wicket: XSS in Palette via getAdditionalAttributes

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-76985

1. National Vulnerability Database (NVD) : CVE-2026-76985

• [2026年09月02日]
    掲載