Apache Wicket: Übermässige Speicherallokation über FileUploadToResourceField
Zusammenfassung
Apache Wicket in den Versionen 9.14.0 bis 9.24.0 und 10.0.0 bis 10.11.0 enthält einen Fehler in der Komponente FileUploadToResourceField. Deren Ajax-Callback akzeptiert vom Client gelieferte Dateiinformationen, und UploadInfo#get() reserviert ein Byte-Array anhand dieses ungeprüften Werts, selbst für Dateien, die nie hochgeladen wurden. Ein nicht authentifizierter Angreifer kann mit kleinen, wiederholten Anfragen den Heap des Servers erschöpfen, und ein negativer Wert führt zu einer nicht behandelten NegativeArraySizeException. Das Problem betrifft nur Anwendungen, die diese nicht standardmässige Komponente verwenden und UploadInfo#get() aufrufen.
Betroffen
- Apache Wicket 9.14.0 bis 9.24.0
- Apache Wicket 10.0.0 bis 10.11.0
- Nicht betroffen: Apache Wicket 8.x, da diese Version die Komponente nicht enthält
- Anwendungen müssen FileUploadToResourceField verwenden und UploadInfo#get() aufrufen
Behoben in
- Apache Wicket 9.25.0
- Apache Wicket 10.12.0
Umgehung
- Die Aktion ENABLE für das FileUploadToResourceField über die Autorisierungsstrategie verweigern, wodurch der Callback abgelehnt wird
- Die Komponente entfernen oder nicht einbinden, falls die Anwendung sie nicht verwendet
- Kein unabhängig veröffentlichter Workaround gefunden
Ausnutzung
- Gemäss OffSeq nicht bekannt, dass die Schwachstelle ausgenutzt wird
- Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept, kein Eintrag im CISA KEV und kein GitHub-Advisory gefunden
- Es handelt sich um einen Eintrag vom selben Tag, der Status kann sich ändern
Unsere Empfehlung
- Den Code nach FileUploadToResourceField und Aufrufen von UploadInfo#get() durchsuchen; fehlen beide, ist die Schwachstelle nicht erreichbar
- Für betroffene Anwendungen im nächsten regulären Wartungsfenster auf 9.25.0 oder 10.12.0 aktualisieren
- Falls die Aktualisierung verzögert wird, die ENABLE-Autorisierungseinschränkung anwenden oder die Komponente entfernen
- Den Wechsel weg von 9.x planen, da diese Version das Lebensende erreicht; Wicket 10 LTS wird empfohlen
- Die unterschiedlichen Schweregrade beachten: NVD gibt CVSS 4.0 mit 8.3 an, VulDB mit 4.3 Mittel; für die Planung den CNA-Wert verwenden
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache Wicket mailing list advisory lists.apache.org
- Wicket 9.24.0 release notes wicket.apache.org
- VulDB entry 429692 vuldb.com
- CVE mirror entry CVE-2026-83594 cve.threatint.com
- OffSeq radar entry CVE-2026-83594 radar.offseq.com
- Apache Wicket home page wicket.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.