نسخه‌های 10.10.0، 10.11.0 و 9.24.0 فریم‌ورک Apache Wicket با یک نقص امنیتی مواجه هستند که باعث می‌شود در شرایط خاص، هدرهای Content-Security-Policy (CSP) روی صفحات اعمال نشوند.
این مشکل زمانی رخ می‌دهد که هندلر درخواست رندر (render request handler) در بیش از یک IRequestHandlerDelegate قرار گرفته باشد. فریم‌ورک مذکور هنگام تصمیم‌گیری برای رندر کردن یک صفحه، تنها یک سطح از Delegate را باز می‌کند (unwrap). در نتیجه، اگر زنجیره درخواست عمیق‌تر باشد (برای مثال، ترکیب یک Request Mapper ارائه شده توسط اپلیکیشن با CryptoMapper)، صفحه بدون هیچ‌گونه هدر CSP سرو می‌شود؛ حتی اگر قابلیت CSP در تنظیمات فعال باشد.
نکته حائز اهمیت این است که در این حالت هیچ خطا یا هشداری (Warning) در سیستم ثبت نمی‌شود، که این موضوع می‌تواند شناسایی و رفع این نقص را برای تیم‌های امنیتی دشوار کند.
