Apache - CVE-2026-40010

Date de publication :

Il s'agit d'une vulnérabilité de fixation de session dans le composant AuthenticatedWebSession d'Apache Wicket.

Apache Wicket est un framework web open source orienté composants pour Java, maintenu par l'Apache Software Foundation. Il est utilisé pour le développement d'applications web côté serveur, avec une gestion des sessions utilisateur via l'API Servlet standard. Il est notamment déployé dans des applications d'entreprise et des portails métier Java.

Après une authentification réussie, Wicket procède à la liaison de la session utilisateur mais n'invoque pas la méthode Servlet changeSessionId(). L'identifiant de session établi avant l'authentification est donc conservé après celle-ci, sans rotation. Un attaquant ayant préalablement forcé ou observé un identifiant de session valide sur la victime peut ainsi conserver un accès à la session authentifiée sans avoir fourni de credentials.

Elle permet à un attaquant distant de prendre le contrôle d'une session authentifiée et d'accéder aux fonctionnalités et données accessibles à l'utilisateur légitime.

Informations

La faille est activement exploitée : Non

Un correctif existe : Oui

Une mesure de contournement existe : Non

Risques

•   Contournement de la politique de sécurité
•   Atteinte à la confidentialité des données

Exploitation

La vulnérabilité exploitée est du type
CWE-384 : Session Fixation

Détails sur l'exploitation
•   Vecteur d'attaque : Réseau
•   Complexité de l'attaque : Faible
•   Privilèges nécessaires pour réaliser l'attaque : Aucun
•   Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
•   L'exploitation de la faille permet d'obtenir des droits privilégiés : Non

Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.

Systèmes ou composants affectés

•   Apache Wicket versions 8.0.0 jusqu'à 8.17.0
•   Apache Wicket versions 9.0.0 jusqu'à 9.22.0
•   Apache Wicket versions 10.0.0 jusqu'à 10.8.0

Solutions ou recommandations

•   Apache Wicket version 10.9.0 et supérieures
•   Branches 8.x et 9.x : aucun correctif disponible, migration vers la version 10.9.0 recommandée par l'éditeur