CVE-2026-66391
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Podatność w Apache Wicket polegająca na użyciu niewystarczająco losowych wartości oraz awarii mechanizmu ochrony. Dotyczy wersji od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.9.0. Zalecana jest aktualizacja do wersji 10.10.0.
Ocena ryzyka
Słabe wartości losowe mogą umożliwić atakującemu przewidzenie tokenów sesji lub innych wrażliwych danych, co prowadzi do naruszenia bezpieczeństwa aplikacji.
Rekomendacja
Zaktualizuj Apache Wicket do wersji 10.10.0 lub nowszej.
Inne podatności w Apache Wicket
Zobacz wszystkie- CVE-2026-43646Wysokie
W Apache Wicket występuje podatność na ujawnienie wrażliwych informacji osobom nieuprawnionym. Dotyczy to wersji od 8.0.0 do 8.17.0, od 9.0.0 do 9.22.0 oraz od 10.0.0 do 10.8.0.
- CVE-2014-3526Wysokie
Apache Wicket w wersjach przed 1.5.12, 6.x przed 6.17.0 oraz 7.x przed 7.0.0-M3 może umożliwić zdalnym atakującym uzyskanie wrażliwych informacji poprzez identyfikatory używane do przechowywania znaczników stron dla tymczasowych sesji użytkowników.
- CVE-2016-6806Wysokie
Apache Wicket w wersjach 6.x przed 6.25.0, 7.x przed 7.5.0 oraz 8.0.0-M1 zawiera lukę w zabezpieczeniach, która nieprawidłowo obsługuje zapobieganie atakom CSRF, nie wykrywając niektórych żądań z innych źródeł. Problem dotyczy również braku sprawdzania niektórych celów po stronie serwera Wicket.
- CVE-2014-7808Wysokie
Apache Wicket w wersjach przed 1.5.13, 6.x przed 6.19.0 oraz 7.x przed 7.0.0-M5 ułatwia atakującym pokonanie mechanizmu ochrony kryptograficznej i przewidywanie zaszyfrowanych adresów URL, wykorzystując CryptoMapper jako domyślnego dostawcę szyfrowania.
- CVE-2016-6793Krytyczne
Klasa DiskFileItem w Apache Wicket w wersjach 6.x przed 6.25.0 oraz 1.5.x przed 1.5.17 umożliwia zdalnym atakującym wywołanie odmowy usługi (nieskończona pętla) oraz zapis, przenoszenie i usuwanie plików z uprawnieniami DiskFileItem. Dodatkowo, jeśli działa na maszynie wirtualnej Java przed wersją 1.3.1, może wykonywać dowolny kod za pomocą spreparowanego zserializowanego obiektu Java.
- CVE-2026-66390Średnie
Podatność na Cross-Site Scripting (XSS) w Apache Wicket spowodowana niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Dotyczy wersji od 9.0.0 do 9.23.0 oraz od 10.0.0 do 10.9.0. Zalecana jest aktualizacja do wersji 10.10.0.
Oryginalny opis (angielski, źródło NVD)
Use of Insufficiently Random Values, Protection Mechanism Failure vulnerability in Apache Wicket. This issue affects Apache Wicket: from 9.0.0 through 9.23.0, from 10.0.0 through 10.9.0. Users are recommended to upgrade to version 10.10.0, which fixes the issue.