JVNDB-2026-031395

Apache Software FoundationのApache Wicketにおけるクロスサイトスクリプティングの脆弱性

Apache Wicketにおけるウェブページ生成時の入力の不適切な無害化に関する脆弱性です。org.apache.wicket.markup.head.MetaDataHeaderItemは＜meta＞および＜link＞ヘッダータグを生成します。属性名はエスケープされますが、属性値は"を\"に置き換える処理が行われています。HTMLではダブルクォートの前にあるバックスラッシュは意味を持たないため、値にダブルクォートが含まれると属性がそこで終了し、その後の文字列は生成されたタグの追加属性として解釈されてしまいます。この問題は、addTagAttributeやforMetaTag、forLinkTagといったファクトリメソッドを通じて攻撃者が影響を与えられるデータを保持する属性値をアプリケーションが提供する場合に発生します。値はIModelとして渡されることがあり、必ずしもリテラル文字列とは限りません。設定を変更して回避する方法はなく、アプリケーションはダブルクォートを含む値を提供しないようにする必要があります。なお、これらの値はいかなる場合も効果的にエスケープされていませんでした。6.24.0、7.4.0、8.0.0でリリースされた変更前は全くエスケープされていませんでした。この問題はApache Wicketのバージョン8.0.0から8.18.0、9.0.0から9.23.0、10.0.0から10.10.0、および6.17.0以降の古くサポート外のリリースにも影響します。ユーザーはこの問題を修正した8.19.0、9.24.0、10.11.0へアップグレードすることを推奨します。

Apache Software Foundation

• Apache Wicket 10.0.0 以上 10.11.0 未満
• Apache Wicket 8.0.0 以上 8.19.0 未満
• Apache Wicket 9.0.0 以上 9.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-76984: Apache Wicket: XSS in MetaDataHeaderItem via addTagAttribute-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-76984: Apache Wicket: XSS in MetaDataHeaderItem via addTagAttribute

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-76984

1. National Vulnerability Database (NVD) : CVE-2026-76984

• [2026年09月02日]
    掲載