CVE-2026-82115

Nome do Software Vulnerável e Versões Afetadas Apache Wicket versões 7.0.0 até 8.19.0 Apache Wicket versões 9.0.0 até 9.24.0 Apache Wicket versões 10.0.0 até 10.11.0

Description O Apache Wicket contém uma falha de bypass de autorização em seu suporte nativo a WebSocket. O manipulador de requisições WebSocketMessageBroadcastHandler entrega frames recebidos resolvendo o recurso compartilhado nomeado no parâmetro de handshake do cliente e chamando WebSocketResource#onPayload() diretamente. Esse processo ignora a verificação IAuthorizationStrategy#isResourceAuthorized(), o que significa que a anotação @AuthorizeResource em tais classes não tem efeito. Um chamador com uma sessão Wicket válida e o nome do recurso pode enviar mensagens de texto ou binárias para callbacks restritos, incluindo onConnect() e onMessage(). Este problema afeta aplicações que registram um WebSocketResource como um recurso compartilhado e dependem da estratégia de autorização para restringi-lo. Isso não concede acesso às conexões de outros usuários.

Recommendations Atualizar Apache Wicket versões 7.0.0 até 8.19.0 para a versão 8.20.0. Atualizar Apache Wicket versões 9.0.0 até 9.24.0 para a versão 9.25.0. Atualizar Apache Wicket versões 10.0.0 até 10.11.0 para a versão 10.12.0. Como solução temporária, rejeite conexões não autorizadas usando um IWebSocketConnectionFilter registrado através de WebSocketSettings#setConnectionFilter() ou repita manualmente a verificação de autorização no início de cada callback.