CVE-2026-82840

Nome do Software Vulnerável e Versões Afetadas Apache Wicket versões 8.18.0 through 8.19.0 Apache Wicket versões 9.23.0 through 9.24.0 Apache Wicket versões 10.9.0 through 10.11.0

Description Existe uma fixação de sessão no módulo de segurança baseado em funções. O método signIn(String, String) na classe AuthenticatedWebSession não renova o ID da sessão quando uma sessão que já está autenticada se autentica novamente. Isso ocorre porque a renovação do ID da sessão via changeSessionId() é acionada apenas durante a primeira transição da flag de autenticação. Um invasor pode explorar isso se conseguir plantar um ID de sessão com o qual já se autenticou no navegador de uma vítima, desde que a aplicação permita a reautenticação de usuários já logados, como em trocas de conta ou solicitações de autenticação adicional para ações sensíveis.

Recommendations Atualize o Apache Wicket versões 8.18.0 through 8.19.0 para a versão 8.20.0. Atualize o Apache Wicket versões 9.23.0 through 9.24.0 para a versão 9.25.0. Atualize o Apache Wicket versões 10.9.0 through 10.11.0 para a versão 10.12.0. Como solução temporária, chame a função changeSessionId() ao final da implementação de authenticate(String, String) para renovar manualmente o ID da sessão em cada autenticação bem-sucedida.