CVE-2026-76985

Nome do Software Vulnerável e Versões Afetadas Apache Wicket versões 1.4.0 through 8.18.0 Apache Wicket versões 9.0.0 through 9.23.0 Apache Wicket versões 10.0.0 through 10.10.0

Description Ocorre a neutralização inadequada de entrada durante a geração de páginas web no componente org.apache.wicket.extensions.markup.html.form.palette.component.AbstractOptions. Embora o componente escape o id e o valor de exibição das opções, ele escreve os nomes e valores de atributos retornados pela função getAdditionalAttributes() diretamente na tag <option> sem a devida neutralização. Uma aplicação é suscetível se sobrescrever as funções Palette.getAdditionalAttributesForChoices(), Palette.getAdditionalAttributesForSelection() ou AbstractOptions.getAdditionalAttributes() e retornar dados que possam ser influenciados por um atacante.

Recommendations Atualizar para a versão 8.19.0. Atualizar para a versão 9.24.0. Atualizar para a versão 10.11.0. Como solução temporária, realize o escape dos valores dentro das sobrescritas de função. Restringir o uso de Palette.getAdditionalAttributesForChoices(), Palette.getAdditionalAttributesForSelection() e AbstractOptions.getAdditionalAttributes() para garantir que não retornem dados influenciados por atacantes.