- Son 7 gün
- CWE-79
CVE-2026-111089
Apache Wicket: Kaynak paketi metinleri kaçışsız yazıldığı için siteler arası betik çalıştırma (XSS)
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, web uygulamalarında kullanıcıların gördüğü sayfaları bozabilir veya saldırganın kullanıcı tarayıcısında kod çalıştırmasına izin verebilir. Kullanıcı oturumlarının ele geçirilmesi ve hassas bilgilerin sızması gibi iş riskleri doğurur. Kullanılan Apache Wicket sürümü etkilenen aralıktaysa güncelleme hızlı yapılmalıdır.
ÖzetTürkçe
Apache Wicket, uygulamanın kaynak paketlerindeki (resource bundle) metinleri, örneğin yerelleştirilmiş etiketleri ve CSS sınıf adlarını, bazı bileşenler için ürettiği JavaScript ve işaretlemeye yazar. Bu metinler, bağlama uygun şekilde kaçışlanmadan tek tırnaklı JavaScript dizgilerine ve tırnaklı öznitelik değerlerine konulmaktadır. Etkilenen sürümler 8.0.0–8.19.0, 9.0.0–9.24.0 ve 10.0.0–10.11.0 arasındaki Apache Wicket kurulumlarıdır.
Saldırgan ne yapabilir?
Metinde tırnak bulunması, betik veya işaretleme yapısını bozabilir; kötü niyetli bir metin varsa saldırgan sayfa yüklendiğinde uygulamanın kökeninde kendi kodunu çalıştırabilir. Öznitelik tabanlı durumlarda Wicket'ın varsayılan içerik güvenlik politikası satır içi olay işleyicilerini engeller, ancak JavaScript tabanlı durumları engellemez.
Kaynaktaki açıklama (İngilizce)
Apache Wicket reads texts from the application's resource bundles — a localized label, a css class name — and writes some of them into the JavaScript and the markup it generates for a component. Those texts are placed inside single-quoted JavaScript string literals and inside quoted attribute values without being escaped for that context, so a text containing a quote ends the literal or the attribute, and what follows is parsed as script or as markup in the application's origin when the page loads.
A resource bundle entry is authored for the application and does not say where the framework will write it. The same key is read by the framework into element text, where Wicket escapes it, and into the contexts below, where it did not. A text containing an apostrophe, which is ordinary in several languages, is enough to break the page; a text under the influence of another party is enough to run script.
In org.apache.wicket:wicket-core, org.apache.wicket.markup.html.form.upload.MultiFileUploadField writes the org.apache.wicket.mfu.delete message into a JavaScript string literal, and org.apache.wicket.markup.html.form.Form writes the hidden-fields css class into the class attribute of the container it renders for its hidden fields; on 8.0.0 through 8.19.0 and 9.0.0 through 9.24.0 Form#appendDefaultButtonField writes the same css class into a second container. In org.apache.wicket:wicket-extensions, UploadProgressBar writes its UploadProgressBar.starting text into a JavaScript string literal, FilterForm writes the hidden-fields css class into the class attribute of its hidden input markup, and on 9.0.0 through 9.24.0 and 10.0.0 through 10.11.0 TrapFocusBehavior writes its current css class into a JavaScript string literal.
The Content-Security-Policy that Apache Wicket 9.x and 10.x send by default does not prevent the JavaScript cases: the generated script is written into a script element carrying the per-response nonce, so the injected code is part of a script the policy admits. It does prevent an inline event handler injected through the attribute cases.
This issue affects Apache Wicket: from 8.0.0 through 8.19.0, from 9.0.0 through 9.24.0, from 10.0.0 through 10.11.0. Users of Apache Wicket 7.x or older, which are no longer supported, should upgrade to a supported version. Users are recommended to upgrade to version 8.20.0, 9.25.0 or 10.12.0, which fix the issue.
Ne yapmalı?
- Apache Wicket'ı, etkilenen dal için düzeltilmiş sürüme yükseltin: 8.x kullanıyorsanız 8.20.0, 9.x kullanıyorsanız 9.25.0, 10.x kullanıyorsanız 10.12.0. Genel öneri
- Yükseltme yapamıyorsanız, kaynak paketlerindeki metinleri, özellikle tırnak ve benzeri özel karakter içerenleri, güvenilmeyen kaynaklardan gelmeyecek şekilde gözden geçirin ve düzenlemeleri sıkı denetime alın. Genel öneri
- Desteklenmeyen 7.x veya daha eski sürümleri kullanıyorsanız desteklenen bir sürüme geçin. Genel öneri
Ek önlemler
- Üretim ortamında içerik güvenlik politikasını (Content-Security-Policy) etkin tutun ve satır içi betik kullanımını mümkün olduğunca kısıtlayın. Genel öneri
- Tarayıcı konsolunda beklenmeyen betik hataları veya sayfa bozulmaları için izleme yapın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Wicket | ≥ 8.0.0, ≤ 8.19.0 | – |
| ≥ 9.0.0, ≤ 9.24.0 | – | |
| ≥ 10.0.0, ≤ 10.11.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.