Apache Wicket — injection de script via des identifiants non échappés (CVE-2026-95863)

Veille sécuritéBackend & données

P3Élevée

Des identifiants de composants ou d’éléments contenant certains caractères sont insérés dans des chaînes JavaScript sans échappement adapté, ce qui peut permettre une exécution de script dans l’origine de l’application. Apache Wicket 8.0.0–8.19.0, 9.0.0–9.24.0 et 10.0.0–10.11.0 sont concernés; mettre à niveau vers 8.20.0, 9.25.0 ou 10.12.0.

IdentifiantCVE-2026-95863

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifApache Wicket 8.20.0, 9.25.0 ou 10.12.0

Source : NVD — CVE-2026-95863

Analyse technique

Le défaut affecte notamment les identifiants de composant ou de balisage comportant des caractères tels qu’une apostrophe ou une barre oblique inverse; l’avis décrit aussi des chemins concernés dans wicket-core et wicket-extensions.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-01T23:17:30.943Z, soit le 2026-11-02T01:17:30.943+02:00, dans la période. La modification NVD du 2 novembre n’est pas retenue comme événement distinct.

ImpactExécution de script dans l’origine de l’application lorsque des identifiants concernés sont utilisés.

Versions affectéesApache Wicket 8.0.0 à 8.19.0, 9.0.0 à 9.24.0 et 10.0.0 à 10.11.0

Version corrigéeApache Wicket 8.20.0, 9.25.0 ou 10.12.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.6

Publication2026-11-02T01:17:30.943+02:00

Mise à jour2026-11-02T18:13:27.570+02:00

Détection / vérification

Examiner les identifiants de composants et de balisage définis par l’application ou dérivés de données, et rechercher leurs usages dans le JavaScript généré par Wicket.

Action recommandée

Mettre à niveau vers Apache Wicket 8.20.0, 9.25.0 ou 10.12.0.

Sources

NVD — CVE-2026-95863

Priorisation DFS : P3 · 1 source(s).