Apache Wicket ne neutralisait pas la valeur client window.name mémorisée par AjaxNewWindowNotifyingBehavior avant de l’insérer dans du JavaScript, permettant une injection de script lors du rendu ultérieur de la page concernée. Le problème concerne Wicket 8.0.0–8.19.0, 9.0.0–9.24.0 et 10.0.0–10.11.0; le comportement doit être explicitement utilisé pour que l’application soit concernée.
Source : NVD — CVE-2026-82956
Analyse technique
La valeur window.name fournie par le client est conservée dans l’état sérialisé de la page puis concaténée sans échappement dans une chaîne JavaScript lors des rendus suivants.
Impact, versions et correctif
Détection / vérification
Vérifier si l’application ajoute explicitement AjaxNewWindowNotifyingBehavior à un composant et mettre à niveau Wicket.
Action recommandée
Mettre à niveau vers Apache Wicket 8.20.0, 9.25.0 ou 10.12.0; vérifier l’usage du comportement concerné.
Sources
Priorisation DFS : P3 · 1 source(s).