یک آسیب‌پذیری امنیتی در فریم‌ورک Apache Wicket شناسایی شده است که به دلیل ترتیب نادرست در اجرای بررسی‌های امنیتی (Security Checks) ایجاد می‌شود. این نقص در کلاس org.apache.wicket.protocol.http.ResourceIsolationRequestCycleListener رخ می‌دهد.
در این سناریو، کلاس مذکور پیش از آنکه سیاست‌های ایزولاسیون منابع (Resource Isolation Policies) خود را بررسی کند، صفحه‌ای را که درخواست به آن هدف قرار داده است، دریافت می‌کند. از آنجایی که دریافت صفحه منجر به نمونه‌سازی (Instantiation) آن می‌شود، در حین این فرآیند، استراتژی احراز هویت (Authorization Strategy) پیکربندی شده یعنی org.apache.wicket.authorization.IAuthorizationStrategy اجرا می‌گردد.
در نتیجه، اگر برنامه‌ای بخواهد یک بازدیدکننده بدون احراز هویت را با پرتاب استثنای (Exception) org.apache.wicket.RestartResponseAtInterceptPageException رد کند، این اتفاق از داخل شنونده ایزولاسیون (Isolation Listener) و پیش از اجرای سیاست‌های امنیتی اصلی رخ می‌دهد. این رفتار می‌تواند منجر به دور زدن یا اختلال در فرآیند کنترل دسترسی مورد نظر برنامه‌نویس شود.
