Veille sécuritéBackend & données
P3Élevée
Une validation de chemin peut approuver un fichier différent de celui ensuite ouvert, permettant dans certaines applications de divulguer le contenu de gabarits HTML de composants dont le nom de classe contient un soulignement. Le problème concerne Apache Wicket 9.14.0–9.24.0 et 10.0.0–10.11.0; mettre à niveau vers 9.25.0 ou 10.12.0.
Java
IdentifiantCVE-2026-83594
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifApache Wicket 9.25.0 ou 10.12.0
Source : NVD — CVE-2026-83594
Analyse technique
La garde valide le chemin avant l’ajout des attributs de style, variation et langue qui déterminent la ressource finalement servie. L’exposition suppose notamment un composant dont le nom de classe contient un soulignement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-01T23:17:29.723Z, soit le 2026-11-02T01:17:29.723+02:00, dans la période. La modification NVD du 2 novembre n’est pas retenue comme événement distinct.
ImpactDivulgation en lecture seule de contenu de gabarits HTML de l’application dans les conditions décrites.
Versions affectéesApache Wicket 9.14.0 à 9.24.0 et 10.0.0 à 10.11.0
Version corrigéeApache Wicket 9.25.0 ou 10.12.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.3
Publication2026-11-02T01:17:30.317+02:00
Mise à jour2026-11-02T18:13:27.570+02:00
Action recommandée
Mettre à niveau vers Apache Wicket 9.25.0 ou 10.12.0.
Sources
Priorisation DFS : P3 · 1 source(s).