CVE.futuretools
Справка
NVD NIST
CVE-2026-82558

Apache Wicket: WebSocketBehavior delivers client messages to a component the client may not invoke

CVSS 3.1Low
2.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите Apache Wicket до версии 8.20.0, 9.25.0 или 10.12.0.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В Apache Wicket класс WebSocketBehavior передаёт клиентские сообщения компоненту без проверки прав на его вызов. Это позволяет клиенту отправлять сообщения скрытым, отключённым или ограниченным через IAuthorizationStrategy компонентам на своей странице.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Обработчик onMessage() вызывается для всех WebSocketBehavior страницы через единое WebSocket-соединение без фильтрации по видимости или активности компонента. Уязвимы приложения, где поведение переопределяет onMessage() и привязано к ограниченному компоненту; атакующему требуется собственная сессия со страницей, содержащей такой компонент.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Клиент может доставлять текстовые и бинарные сообщения ограниченному компоненту в рамках собственной сессии и получать сформированные им ответы. Доступа к чужим сессиям, страницам или соединениям уязвимость не даёт.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-82558: Apache Wicket: WebSocketBehavior delivers client messages to a component the client may not invoke. URL: https://cve.futuretools.ru/cve/CVE-2026-82558
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_82558,
  title = {{CVE-2026-82558: Apache Wicket: WebSocketBehavior delivers client messages to a component the client may not invoke}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-82558}},
  note = {Оперативный инженерный анализ киберугроз}
}