Неправильная нейтрализация ввода во время создания веб-страницы в Apache Wicket.
org.apache.wicket.extensions.markup.html.form.palette.comComponent.AbstractOptions, который отображает два списка параметров палитры, экранирует идентификатор и отображаемое значение каждого параметра в соответствии с настройкой escape-model-strings и записывает имена и значения атрибутов, возвращаемые getAdditionalAttributes, в тег <option> по мере их поступления. Это затрагивает приложение, которое переопределяет Palette.getAdditionalAttributesForChoices, Palette.getAdditionalAttributesForSelection или AbstractOptions.getAdditionalAttributes и возвращает значение, содержащее данные, на которые может повлиять злоумышленник. Эти методы по умолчанию возвращают значение NULL, поэтому приложение, которое их не переопределяет, не затрагивается.
В качестве обходного пути избегайте значений в переопределении. Эта проблема затрагивает Apache Wicket: с 8.0.0 по 8.18.0, с 9.0.0 по 9.23.0, с 10.0.0 по 10.10.0. Также затронуты старые, неподдерживаемые версии, начиная с 1.4.0.
Пользователям рекомендуется выполнить обновление до версии 8.19.0, 9.24.0 или 10.11.0, которая устранит проблему.
Показать оригинальное описание (EN)
Improper neutralization of input during web page generation in Apache Wicket. org.apache.wicket.extensions.markup.html.form.palette.component.AbstractOptions, which renders the two option lists of a Palette, escapes the id and the display value of each option according to the escape-model-strings setting, and wrote the attribute names and values returned by getAdditionalAttributes into the <option> tag as they came. An application is affected where it overrides Palette.getAdditionalAttributesForChoices, Palette.getAdditionalAttributesForSelection or AbstractOptions.getAdditionalAttributes and returns a value holding data an attacker can influence. These methods return null by default, so an application that does not override them is not affected. As a workaround, escape the values in the override. This issue affects Apache Wicket: from 8.0.0 through 8.18.0, from 9.0.0 through 9.23.0, from 10.0.0 through 10.10.0. Older, unsupported releases from 1.4.0 onwards are also affected. Users are recommended to upgrade to version 8.19.0, 9.24.0 or 10.11.0, which fix the issue.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 3
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Apache Wicket
cpe:2.3:a:apache:wicket:*:*:*:*:*:*:*:*
|
8.0.0
|
8.19.0
|
|
Apache Wicket
cpe:2.3:a:apache:wicket:*:*:*:*:*:*:*:*
|
9.0.0
|
9.24.0
|
|
Apache Wicket
cpe:2.3:a:apache:wicket:*:*:*:*:*:*:*:*
|
10.0.0
|
10.11.0
|