CVE-2026-82956

Nome do Software Vulnerável e Versões Afetadas Apache Wicket versões 8.0.0 até 8.19.0 Apache Wicket versões 9.0.0 até 9.24.0 Apache Wicket versões 10.0.0 até 10.11.0

Description A neutralização inadequada de entrada durante a geração de páginas web ocorre quando o componente org.apache.wicket.ajax.AjaxNewWindowNotifyingBehavior processa o parâmetro de requisição windowName. A aplicação armazena o nome da janela fornecido pelo cliente no estado serializado da página. Durante renderizações subsequentes, esse valor é substituído em um literal de string JavaScript entre aspas simples e gravado como JavaScript puro, sem a devida filtragem ou validação. Um invasor pode fornecer um nome de janela contendo uma aspa simples para encerrar o literal e executar scripts arbitrários na origem da aplicação. Este problema afeta apenas aplicações que adicionaram explicitamente o AjaxNewWindowNotifyingBehavior a um componente.

Recommendations Atualizar as versões 8.0.0 até 8.19.0 do Apache Wicket para a versão 8.20.0. Atualizar as versões 9.0.0 até 9.24.0 do Apache Wicket para a versão 9.25.0. Atualizar as versões 10.0.0 até 10.11.0 do Apache Wicket para a versão 10.12.0.