VULNERABILIDADDetectada 01 NOV · 21:46

CVE-2026-87718 Omisión de cabeceras CSP en Apache Wicket con delegados anidados de request handler

Apache Wicket 10.10.0, 10.11.0 y 9.24.0 no establecen las cabeceras Content-Security-Policy en páginas cuyo request handler de render está envuelto en más de un IRequestHandlerDelegate, porque solo se desenvuelve un nivel. La página se sirve sin CSP aunque esté habilitada y sin error ni advertencia, perdiendo la protección por nonce y las demás directivas configuradas. Las versiones anteriores a 10.10.0 y 9.24.0 manejaban los delegados anidados.

2.3BAJA

CVSS 4.0

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 21
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

Apache Software Foundation Apache Wicket
9.24.0desde 10.10.0 hasta 10.11.0

Qué hacer

Verificá si usás Apache Wicket y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 2.3 BAJA

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/AU:N/RE:L

Vector de ataqueRed
Complejidad del ataqueBaja
Requisitos del ataquePresentes
Privilegios requeridosNinguno
Interacción del usuarioPasiva
Confidencialidad (sistema vulnerable)Ninguna
Integridad (sistema vulnerable)Ninguna
Disponibilidad (sistema vulnerable)Ninguna
Confidencialidad (sistemas posteriores)Baja
Integridad (sistemas posteriores)Baja
Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Apache Wicket 10.10.0, 10.11.0 and 9.24.0 do not set the Content-Security-Policy headers on a page whose render request handler is wrapped in more than one IRequestHandlerDelegate. The framework unwraps only a single delegate level when deciding whether a request renders a page, so with a deeper chain, for example an application-provided delegating request mapper combined with CryptoMapper, the page is served without any CSP header even though CSP is enabled, and no error or warning is raised. The nonce-based protection Wicket applies to inline scripts and styles, together with any other CSP directives configured by the application, is thereby lost for those pages, exposing them to content injection the policy was meant to prevent. Applications on stock Wicket that do not wrap request handlers themselves are not affected. Versions before 10.10.0 and 9.24.0 handled nested delegates correctly. Users are recommended to upgrade to version 10.12.0 or 9.25.0, which fix the issue.

Referencias (1)

lists.apache.org/thread.html/fjq8v35zpkbtjwpzwkkpzocwtdgokp1m

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.