CVE.futuretools
Справка
NVD NIST
CVE-2026-83559

Apache Wicket: JavaScriptUtils#escapeQuotes does not escape the backslash, so its output can leave its string literal

CVSS 3.1Medium
7.4/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Исправленная версия не указана. Проверьте бюллетень производителя.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В Apache Wicket метод JavaScriptUtils#escapeQuotes не экранирует символ обратного слэша, что позволяет выйти за границы строкового литерала JavaScript. Это приводит к выполнению произвольного скрипта в контексте приложения и сессии пользователя.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Метод заменяет одинарные и двойные кавычки на комбинацию со слэшем, но не обрабатывает сам обратный слэш. Если строка содержит слэш перед кавычкой, экранирование нарушается, закрывая литерал и переводя последующие символы в исполняемый JavaScript-код.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольного кода JavaScript в контексте источника (origin) веб-приложения и в текущей пользовательской сессии.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-83559: Apache Wicket: JavaScriptUtils#escapeQuotes does not escape the backslash, so its output can leave its string literal. URL: https://cve.futuretools.ru/cve/CVE-2026-83559
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_83559,
  title = {{CVE-2026-83559: Apache Wicket: JavaScriptUtils#escapeQuotes does not escape the backslash, so its output can leave its string literal}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-83559}},
  note = {Оперативный инженерный анализ киберугроз}
}