CVE-2026-76986

Nome do Software Vulnerável e Versões Afetadas Apache Wicket versões 1.5.0 through 8.18.0 Apache Wicket versões 9.0.0 through 9.23.0 Apache Wicket versões 10.0.0 through 10.10.0

Description Ocorre a neutralização inadequada de entrada durante a geração de páginas web na classe org.apache.wicket.markup.html.form.AbstractSingleSelectChoice, que serve como classe base para DropDownChoice. O software escreve o corpo da opção padrão na marcação sem escapá-lo, enquanto outros corpos de opção são escapados com base na configuração escape-model-strings. O conteúdo afetado é recuperado através das funções getNullValidDisplayValue() ou getNullKeyDisplayValue(). Uma aplicação é suscetível se sobrescrever esses métodos para retornar dados influenciados por um invasor ou se a entrada do bundle nulo contiver tais dados.

Recommendations Atualizar para a versão 8.19.0. Atualizar para a versão 9.24.0. Atualizar para a versão 10.11.0. Como solução temporária, escape o valor dentro da sobrescrita do método.