Apache Wicket : injection JavaScript via ExternalLink

Veille sécuritéFrontend

P3Élevée

Dans Apache Wicket 8.x, ExternalLink pouvait construire un gestionnaire JavaScript avec une URL non échappée lorsque le composant était associé à un élément qui n’est pas un lien, ou lorsque des paramètres de fenêtre surgissante étaient utilisés. Les versions 8.0.0–8.19.0 sont concernées; la correction est disponible dans la version 8.20.0.

IdentifiantCVE-2026-84231

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif8.20.0

Source : NVD — CVE-2026-84231

Analyse technique

L’URL du modèle est concaténée dans une chaîne JavaScript d’un attribut onclick sans neutralisation adaptée; l’encodage HTML seul ne suffit pas, car le navigateur décode les références de caractères avant d’analyser le gestionnaire.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-01 à 23:17:30Z, soit le 2026-11-02 à 01:17:30+02:00, dans la période retenue. La mise à jour NVD horodatée du 2026-11-02 est également dans cette période.

ImpactExécution de JavaScript dans le navigateur d’un utilisateur après activation de l’élément.

Versions affectéesApache Wicket 8.0.0–8.19.0

Version corrigée8.20.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.4

Publication2026-11-01T23:17:30.550Z

Mise à jour2026-11-02T16:13:27.570Z

Détection / vérification

Vérifier les usages d’ExternalLink lié à un élément autre qu’un lien et les URL du modèle issues de données contrôlables.

Action recommandée

Mettre à niveau vers Apache Wicket 8.20.0; vérifier les usages d’ExternalLink concernés.

Sources

NVD — CVE-2026-84231

Priorisation DFS : P3 · 1 source(s).