Apache Wicket : injection de script via des textes de ressources non échappés

Veille sécuritéFrontend

P3Élevée

Apache Wicket n’échappait pas certains textes de ressources et noms de classes CSS avant de les insérer dans du JavaScript ou des attributs HTML, ce qui peut permettre une injection de script selon le composant et le contenu contrôlé. Les versions 8.0.0–8.19.0, 9.0.0–9.24.0 et 10.0.0–10.11.0 sont concernées; mettre à niveau vers une version corrigée.

IdentifiantCVE-2026-111089

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif8.20.0, 9.25.0 ou 10.12.0

Source : NVD — CVE-2026-111089

Analyse technique

Certains textes de ressources sont insérés dans des chaînes JavaScript ou des attributs sans échappement adapté au contexte. La CSP par défaut de Wicket 9 et 10 ne bloque pas les cas d’injection dans les scripts générés avec nonce.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-01 à 23:17:28Z, soit le 2026-11-02 à 01:17:28+02:00, dans la période retenue. La mise à jour NVD horodatée du 2026-11-02 est également dans cette période.

ImpactInjection de script pouvant s’exécuter dans l’origine de l’application.

Versions affectéesApache Wicket 8.0.0–8.19.0, 9.0.0–9.24.0 et 10.0.0–10.11.0

Version corrigée8.20.0, 9.25.0 ou 10.12.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.6

Publication2026-11-01T23:17:28.697Z

Mise à jour2026-11-02T16:13:27.570Z

Détection / vérification

Rechercher les usages de MultiFileUploadField, Form, UploadProgressBar, FilterForm et TrapFocusBehavior, ainsi que les textes et classes CSS injectés dans leurs sorties.

Action recommandée

Mettre à niveau vers Apache Wicket 8.20.0, 9.25.0 ou 10.12.0.

Sources

NVD — CVE-2026-111089

Priorisation DFS : P3 · 1 source(s).