فریم‌ورک Apache Wicket با یک آسیب‌پذیری از نوع عدم خنثی‌سازی صحیح ورودی (Improper neutralization of input) در فرآیند تولید صفحات وب مواجه است. این نقص امنیتی که تحت شناسه CVE-2026-95863 شناخته می‌شود، می‌تواند منجر به اجرای کدهای مخرب در مرورگر کاربران شود.
جزئیات فنی
در این آسیب‌پذیری، Apache Wicket کدهای JavaScript تولید می‌کند که به المان‌های رندر شده ارجاع می‌دهند. این فرآیند شامل نوشتن دو مقدار در کدهای جاوااسکریپت است: شناسه مارک‌آپ (markup id) یک کامپوننت و نام ورودی (input name) یک کامپوننت فرم که از شناسه‌های کامپوننت ساخته می‌شود.
مشکل اصلی اینجاست که هر دو مقدار بدون انجام عملیات Escape کردن برای بافت (context) مورد نظر، درون رشته‌های متنی (string literals) جاوااسکریپت که با تک‌کوت (single-quote) محصور شده‌اند، قرار می‌گیرند. در نتیجه، اگر مقداری حاوی یک تک‌کوت (‘) یا یک بک‌اسلش () وارد شود، رشته متنی شکسته شده و امکان تزریق کدهای مخرب فراهم می‌گردد.
