PT-2026-135044
CVE-2026-82840
·
تاريخ النشر
2026-11-01
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 4.0
7.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Wicket الإصدارات من 8.18.0 إلى 8.19.0
Apache Wicket الإصدارات من 9.23.0 إلى 9.24.0
Apache Wicket الإصدارات من 10.9.0 إلى 10.11.0
Description
يوجد خلل تثبيت الجلسة في وحدة الأمن القائمة على الأدوار. يفشل التابع
signIn(String, String) في الفئة AuthenticatedWebSession في تجديد معرف الجلسة عندما تقوم جلسة مسجلة الدخول بالفعل بالمصادقة مرة أخرى. يحدث هذا لأن تجديد معرف الجلسة عبر changeSessionId() يتم تفعيله فقط خلال الانتقال الأول لعلم تسجيل الدخول. يمكن للمهاجم استغلال ذلك إذا تمكن من زرع معرف جلسة قام بتسجيل الدخول من خلاله مسبقاً في متصفح الضحية، بشرط أن يسمح التطبيق بإعادة المصادقة للمستخدمين المسجلين بالفعل، كما هو الحال عند تبديل الحسابات أو طلبات المصادقة الإضافية للإجراءات الحساسة.Recommendations
تحديث Apache Wicket الإصدارات من 8.18.0 إلى 8.19.0 إلى الإصدار 8.20.0.
تحديث Apache Wicket الإصدارات من 9.23.0 إلى 9.24.0 إلى الإصدار 9.25.0.
تحديث Apache Wicket الإصدارات من 10.9.0 إلى 10.11.0 إلى الإصدار 10.12.0.
كإجراء مؤقت، قم باستدعاء التابع
changeSessionId() في نهاية تنفيذ authenticate(String, String) لتجديد معرف الجلسة يدوياً عند كل عملية مصادقة ناجحة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾