Apache - CVE-2026-40010
Date de publication :
Il s'agit d'une vulnérabilité de fixation de session dans le composant AuthenticatedWebSession d'Apache Wicket.
Apache Wicket est un framework web open source orienté composants pour Java, maintenu par l'Apache Software Foundation. Il est utilisé pour le développement d'applications web côté serveur, avec une gestion des sessions utilisateur via l'API Servlet standard. Il est notamment déployé dans des applications d'entreprise et des portails métier Java.
Après une authentification réussie, Wicket procède à la liaison de la session utilisateur mais n'invoque pas la méthode Servlet changeSessionId(). L'identifiant de session établi avant l'authentification est donc conservé après celle-ci, sans rotation. Un attaquant ayant préalablement forcé ou observé un identifiant de session valide sur la victime peut ainsi conserver un accès à la session authentifiée sans avoir fourni de credentials.
Elle permet à un attaquant distant de prendre le contrôle d'une session authentifiée et d'accéder aux fonctionnalités et données accessibles à l'utilisateur légitime.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Contournement de la politique de sécurité
• Atteinte à la confidentialité des données
Exploitation
CWE-384 : Session Fixation
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Apache Wicket versions 8.0.0 jusqu'à 8.17.0
• Apache Wicket versions 9.0.0 jusqu'à 9.22.0
• Apache Wicket versions 10.0.0 jusqu'à 10.8.0
Solutions ou recommandations
• Branches 8.x et 9.x : aucun correctif disponible, migration vers la version 10.9.0 recommandée par l'éditeur