CVE-2026-82557
Apache Wicket: A disabled or invisible form submitting component is still invoked on a plain form submission
CVSS 3.1Medium
6.9/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите Apache Wicket до версии 10.12.0.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В Apache Wicket отключённые или скрытые компоненты отправки формы всё равно вызываются при стандартной отправке формы. Уязвимость позволяет обойти ограничения видимости, активности и правила IAuthorizationStrategy.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Метод Form#onRequest() передаёт имя сабмиттера из параметров запроса напрямую в Form#onFormSubmitted(), минуя проверку видимости и доступности в иерархии компонентов. Если запрос указывает имя скрытой или заблокированной кнопки, выполняются её методы onSubmit() и onAfterSubmit(), а при setDefaultFormProcessing(false) — в обход валидации формы.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Пользователь с доступом к форме может инициировать выполнение действий скрытых или недоступных ему кнопок отправки.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-82557: Apache Wicket: A disabled or invisible form submitting component is still invoked on a plain form submission. URL: https://cve.futuretools.ru/cve/CVE-2026-82557
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_82557,
title = {{CVE-2026-82557: Apache Wicket: A disabled or invisible form submitting component is still invoked on a plain form submission}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-82557}},
note = {Оперативный инженерный анализ киберугроз}
}