JVNDB-2026-031396

Apache Software FoundationのApache Wicketにおけるクロスサイトスクリプティングの脆弱性

Apache Wicketにおけるウェブページ生成時の入力の不適切な無害化について説明します。＜wicket:label＞タグはorg.apache.wicket.markup.html.form.AutoLabelTextResolverによって提供されており、すべてのWebApplicationでデフォルトで登録されています。このリゾルバは検出したラベルをそのままマークアップに書き込み、エスケープ設定を一切参照しないため、ラベル内のマークアップはそのまま表示されます。ラベルがlabelledコンポーネントのラベルモデルから取得され、FormComponent#setLabel(IModel)を通じて設定されている場合、その内容はエスケープされずにマークアップに書き込まれます。フォームコンポーネントのラベルが攻撃者に影響を受ける可能性のあるデータを保持しているアプリケーションが影響を受けます。Wicketはモデル値の出所がどこかを判断できず、リクエスト由来かストレージ由来かはアプリケーション側で管理する必要があります。この問題に対する回避策は存在しません。他のすべてのWicketのレンダリング経路とは異なり、このリゾルバはescape-model-strings設定を参照しないため、アプリケーションはラベルのエスケープを要求する手段を持ちませんでした。＜wicket:label＞タグのボディは設計上マークアップであり、影響を受けず、ラベル内にマークアップを配置するサポートされた方法として残されています。この問題はApache Wicketのバージョン8.0.0から8.18.0、9.0.0から9.23.0、10.0.0から10.10.0まで、ならびにサポート外の古いリリース1.5.0以降にも影響があります。ユーザーは問題を修正したバージョン8.19.0、9.24.0、10.11.0へのアップグレードを推奨します。

Apache Software Foundation

• Apache Wicket 10.0.0 以上 10.11.0 未満
• Apache Wicket 8.0.0 以上 8.19.0 未満
• Apache Wicket 9.0.0 以上 9.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-76983: Apache Wicket: XSS in AutoLabelTextResolver via FormComponent.setLabel-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-76983: Apache Wicket: XSS in AutoLabelTextResolver via FormComponent.setLabel

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-76983

1. National Vulnerability Database (NVD) : CVE-2026-76983

• [2026年09月02日]
    掲載