PT-2026-135046
CVE-2026-82956
·
تاريخ النشر
2026-11-01
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 4.0
7.6
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Wicket الإصدارات من 8.0.0 إلى 8.19.0
Apache Wicket الإصدارات من 9.0.0 إلى 9.24.0
Apache Wicket الإصدارات من 10.0.0 إلى 10.11.0
Description
يحدث خلل في تحييد المدخلات أثناء إنشاء صفحات الويب عندما يقوم مكون
org.apache.wicket.ajax.AjaxNewWindowNotifyingBehavior بمعالجة معامل الطلب windowName. يقوم التطبيق بتخزين اسم النافذة المقدم من العميل في الحالة المتسلسلة للصفحة. وأثناء عمليات الرندرة اللاحقة، يتم استبدال هذه القيمة في سلسلة نصية JavaScript محاطة بعلامات اقتباس مفردة وكتابتها كـ JavaScript خام دون إجراء عملية هروب أو تحقق مناسبة. يمكن للمهاجم تقديم اسم نافذة يحتوي على علامة اقتباس مفردة لإنهاء السلسلة النصية وتنفيذ برمجيات خبيثة في أصل التطبيق. تؤثر هذه المشكلة فقط على التطبيقات التي أضافت صراحةً AjaxNewWindowNotifyingBehavior إلى أحد المكونات.Recommendations
تحديث إصدارات Apache Wicket من 8.0.0 إلى 8.19.0 إلى الإصدار 8.20.0.
تحديث إصدارات Apache Wicket من 9.0.0 إلى 9.24.0 إلى الإصدار 9.25.0.
تحديث إصدارات Apache Wicket من 10.0.0 إلى 10.11.0 إلى الإصدار 10.12.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾