JVNDB-2026-031397

Apache Software FoundationのApache Wicketにおけるクロスサイトスクリプティングの脆弱性

Apache Wicketにおけるウェブページ生成時の入力の不適切な無害化処理について説明します。org.apache.wicket.markup.html.form.Buttonは、そのコンストラクタ内でescape-model-stringsフラグをクリアしており、value属性の値が二重にエンコードされないようにしています。これは、ComponentTagがタグを書き込む際にすでに属性値をエンコードしているためです。この理論は属性にのみ適用されます。コンポーネントが＜input＞要素ではなく＜button＞要素にアタッチされる場合、モデルオブジェクトを要素の内部に書き込みますが、要素内はエンコードされないため、モデル内のマークアップがマークアップとしてレンダリングされてしまいます。攻撃者が影響を与えられるデータを保持するボタンのモデルがあり、それが＜button＞要素でレンダリングされるアプリケーションは影響を受けます。Wicketはモデル値の由来を判別できず、それがリクエスト由来かストレージ由来かはアプリケーションの設計に依存します。このコンストラクタを継承するAjaxButton、AjaxFallbackButton、WizardButtonのサブクラスも同様に影響を受けます。回避策として、＜button＞要素としてレンダリングされるボタンに対してsetEscapeModelStrings(true)を呼び出すと、ボディは正しくエスケープされ、value属性は＜input＞要素のみに書かれるため二重エンコードは発生しません。本問題はApache Wicketのバージョン8.0.0から8.18.0、9.0.0から9.23.0、10.0.0から10.10.0の間、およびサポート外の古いリリース6.25.0および7.5.0以降のバージョンにも影響があります。利用者は、本問題を修正したバージョン8.19.0、9.24.0、または10.11.0へのアップグレードを推奨します。

Apache Software Foundation

• Apache Wicket 10.0.0 以上 10.11.0 未満
• Apache Wicket 8.0.0 以上 8.19.0 未満
• Apache Wicket 9.0.0 以上 9.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-76982: Apache Wicket: XSS in Button via its model object-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-76982: Apache Wicket: XSS in Button via its model object

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-76982

1. National Vulnerability Database (NVD) : CVE-2026-76982

• [2026年09月02日]
    掲載