JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031470 Apache Wicketは、Apache Commons FileUploadを使用してマルチパートリクエストを解析する際に、フォームまたはアップロードフィールドで設定されたアップロード制限を強制します。もしリクエストボディが他のコンポーネントによってすでに消費されている場合、Commons FileUploadはアイテムを返さず、WicketはHttpServletRequest#getParts()を通じてアップロードを読み取るフォールバック処理を行います。その際に取得されるパーツには、ファイルごとのサイズ制限（例: Form#setFileMaxSize）やファイル数制限（Form#setFileCountMax）が適用されず、例外も発生しないため、これらの制限を満たしたかのようにアップロードが処理されます。その結果、リモートアップローダーはアプリケーションが許可するよりも大きいファイルや、より多くのファイルを、リクエストを解析したコンポーネントが許す範囲まで送信できてしまいます。さらにContent-Typeヘッダーを持たないパーツは、解析中に完全にメモリに読み込まれ、その割り当てサイズはリクエストに依存し、上述の外部制限によってのみ制限されます。これは合計アップロードサイズ制限（Form#setMaxSize）には影響しません。Commons FileUploadは読み込み前に宣言されたContent-Lengthをそれと比較するため、オーバーサイズの長さを宣言したリクエストはフォールバックに到達する前に拒否されます。このフォールバックは、サーブレットやフィルタがすでにリクエストボディを解析しているデプロイメント環境で発生します。例えば@MultipartConfigが付与されたサーブレット、Spring Bootのマルチパートリゾルバ、またはマルチパートリクエストに対してHttpServletRequest#getParameter()を呼び出す任意のフィルタが該当します。この問題は、FileUploadFieldを持つForm、FileUploadToResourceField、AjaxFileDropBehaviorなど、そのパス上でアップロードを受け付けるWicketコンポーネントに影響します。ファイルごとの制限やファイル数の制限を設定していないアプリケーションは影響を受けません。なぜならWicketはこれらの制限をデフォルトで適用しないからです。本問題はApache Wicketのバージョン8.0.0から8.18.0、9.0.0から9.23.0、10.0.0から10.10.0に影響します。ユーザーは本問題を修正したバージョン8.19.0、9.24.0、10.11.0へのアップグレードを推奨します。サポート終了済みのApache Wicket 7.x以前のユーザーは、サポートされているバージョンへのアップグレードが望ましいです。回避策としては、リクエストを解析するコンポーネント側で同等の制限を設定してください。例えば、spring.servlet.multipart.max-file-sizeやmax-request-size、または@MultipartConfigやweb.xml内の＜multipart-config＞要素でのmaxFileSizeやmaxRequestSizeの設定が該当します。 cpe:/a:apache:wicket https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031470.html Common Vulnerabilities and Exposures (CVE) CVE-2026-71257 https://www.cve.org/CVERecord?id=CVE-2026-71257 National Vulnerability Database (NVD) CVE-2026-71257 https://nvd.nist.gov/vuln/detail/CVE-2026-71257 Pony Mail CVE-2026-71257: Apache Wicket: Configured file upload limits are not enforced when the multipart request has already been parsed-Apache Mail Archives https://lists.apache.org/thread/o59f8jz1m09kqdwm73pyyn6hdsxt190q JVNDB CWE-770 https://cwe.mitre.org/data/definitions/770.html Openwall mailing list archives oss-security - CVE-2026-71257: Apache Wicket: Configured file upload limits are not enforced when the multipart request has already been parsed http://www.openwall.com/lists/oss-security/2026/08/30/4 2026-09-02T14:49:25+09:00 2026-09-02T14:49:25+09:00