CVE-2026-87718
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Apache Wicket 10.10.0, 10.11.0 i 9.24.0 nie ustawiają nagłówków Content-Security-Policy na stronie, której procedura obsługi żądania renderowania jest opakowana w więcej niż jeden IRequestHandlerDelegate. Struktura rozpakowuje tylko jeden poziom delegowania podczas podejmowania decyzji, czy żądanie ma renderować stronę, więc w przypadku głębszego łańcucha, na przykład dostarczonego przez aplikację mapowania żądań delegowania w połączeniu z CryptoMapperem, strona jest obsługiwana bez żadnego nagłówka CSP, nawet jeśli CSP jest włączony i nie jest zgłaszany żaden błąd ani ostrzeżenie. Ochrona nie oparta na cenie Wicket stosowana do wbudowanych skryptów i stylów, wraz z innymi dyrektywami CSP skonfigurowanymi przez aplikację, zostaje w ten sposób utracona dla tych stron, narażając je na wstrzyknięcie treści, której polityka miała zapobiegać. Nie ma to wpływu na aplikacje dostępne w magazynie Wicket, które same nie otaczają modułów obsługi żądań. Wersje starsze niż 10.10.0 i 9.24.0 poprawnie obsługiwały delegatów zagnieżdżonych. Użytkownikom zaleca się aktualizację do wersji 10.12.0 lub 9.25.0, która rozwiązuje problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org