La méthode JavaScriptUtils.escapeQuotes() d’Apache Wicket n’échappait pas les antislashs, ce qui pouvait rendre inopérant l’échappement des guillemets et permettre une injection de script dans les usages concernés. Les versions 8.0.0–8.19.0, 9.0.0–9.24.0 et 10.0.0–10.11.0 sont affectées; la mise à niveau vers une version corrigée est recommandée.
Source : NVD — CVE-2026-83559
Analyse technique
L’absence d’échappement du caractère antislash permet, dans certaines valeurs, qu’un guillemet reste actif et ferme la chaîne JavaScript. L’impact dépend de l’usage de la méthode par l’application ou de composants concernés avec des données contrôlables.
Impact, versions et correctif
Détection / vérification
Rechercher les appels à JavaScriptUtils.escapeQuotes() sur des données contrôlables par un attaquant, notamment dans les messages d’erreur d’AjaxEditableLabel.
Action recommandée
Mettre à niveau vers Apache Wicket 8.20.0, 9.25.0 ou 10.12.0; examiner les usages de la méthode avec des données non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).