Apache Wicket publie 19 avis de sécurité et met fin aux branches 8 et 9
Le 1er novembre 2026, l’équipe Apache Wicket a publié 19 avis de sécurité concernant ce framework Java pour applications web. Selon les branches et les composants concernés, les correctifs se trouvent dans les versions 8.20.0, 9.25.0 et 10.12.0. Cette dernière était disponible dès le 31 octobre : la publication des avis constitue l’information nouvelle.
Plusieurs défauts sont classés de gravité élevée par Apache. CVE-2026-82840 concerne la fixation de session lors d’une réauthentification ; elle touche les versions 8.18.0 à 8.19.x, 9.23.0 à 9.24.x et 10.9.0 à 10.11.x. CVE-2026-95863 permet des injections de scripts lorsque l’application fournit certains identifiants non correctement échappés. D’autres avis portent sur les autorisations, les téléversements et l’exposition de ressources. Les conditions diffèrent : les 19 défauts ne s’appliquent pas indistinctement à tous les sites.
La mise à jour doit aussi préparer la migration : 8.20.0 et 9.25.0 sont les dernières versions de leurs branches, désormais en fin de vie. Apache recommande de rejoindre Wicket 10 LTS ou 11 ; les versions antérieures à 8 ne reçoivent pas ces correctifs. L’annonce ne signale pas d’exploitation active et ne fournit pas de scores CVSS numériques.
Sources :
