Andre Kropp

**Nome do Software Vulnerável e Versões Afetadas** Apache Wicket versões 9.1.0 through 9.23.0 Apache Wicket versões 10.0.0 through 10.10.0 **Description** O `ResourceIsolationRequestCycleListener` falha ao proteger aplicações contra falsificação de requisição cross-site (CSRF) devido a permissões inseguras na `FetchMetadataResourceIsolationPolicy`. Primeiro, ele permite todas as navegações simples de nível superior onde o `Sec-Fetch-Mode` é `navigate` e o `Sec-Fetch-Dest` não é `object` nem `embed`, independentemente do valor de `Sec-Fetch-Site`. Isso permite que um invasor acione ouvintes de componentes, como `Link.onClick()`, por meio de navegações GET cross-site. Segundo, ele permite incondicionalmente requisições com `Sec-Fetch-Site` definido como `same-site`, permitindo que origens irmãs (subdomínios ou portas diferentes) invoquem ouvintes via qualquer método, incluindo envios de formulários POST. **Recommendations** Atualizar o Apache Wicket versões 9.1.0 through 9.23.0 para a versão 9.24.0. Atualizar o Apache Wicket versões 10.0.0 through 10.10.0 para a versão 10.11.0.