PT-2026-135038
CVE-2026-82115
·
تاريخ النشر
2026-11-01
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Wicket الإصدارات من 7.0.0 إلى 8.19.0
Apache Wicket الإصدارات من 9.0.0 إلى 9.24.0
Apache Wicket الإصدارات من 10.0.0 إلى 10.11.0
Description
يحتوي Apache Wicket على ثغرة لتجاوز الصلاحيات في دعمه الأصلي لـ WebSocket. يقوم معالج الطلبات
WebSocketMessageBroadcastHandler بتسليم الإطارات الواردة عن طريق تحديد المورد المشترك المسمى في معامل مصافحة العميل واستدعاء WebSocketResource#onPayload() مباشرة. تتجاوز هذه العملية فحص IAuthorizationStrategy#isResourceAuthorized()، مما يعني أن تعليق @AuthorizeResource في هذه الفئات ليس له تأثير. يمكن للمتصل الذي يمتلك جلسة Wicket صالحة واسم المورد إرسال رسائل نصية أو ثنائية إلى استدعاءات مقيدة، بما في ذلك onConnect() و onMessage(). تؤثر هذه المشكلة على التطبيقات التي تسجل WebSocketResource كمورد مشترك وتعتمد على استراتيجية التفويض لتقييده. لا يمنح هذا الوصول إلى اتصالات المستخدمين الآخرين.Recommendations
تحديث Apache Wicket الإصدارات من 7.0.0 إلى 8.19.0 إلى الإصدار 8.20.0.
تحديث Apache Wicket الإصدارات من 9.0.0 إلى 9.24.0 إلى الإصدار 9.25.0.
تحديث Apache Wicket الإصدارات من 10.0.0 إلى 10.11.0 إلى الإصدار 10.12.0.
كإجراء مؤقت، يتم رفض الاتصالات غير المصرح بها باستخدام
IWebSocketConnectionFilter المسجل عبر WebSocketSettings#setConnectionFilter() أو تكرار فحص التفويض يدويًا في بداية كل استدعاء. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾