یک آسیب‌پذیری امنیتی در فریم‌ورک Apache Wicket شناسایی شده است که به دلیل نقص در مکانیزم احراز هویت (Authorization) رخ می‌دهد. این مشکل در اینترفیس org.apache.wicket.authorization.IAuthorizationStrategy و متد isResourceAuthorized() نهفته است.
بررسی‌های فنی نشان می‌دهد که نقطه اعمال (Enforcement Point) این کنترل امنیتی تنها در کلاس org.apache.wicket.request.handler.resource.ResourceRequestHandler قرار دارد؛ یعنی همان هندلری که وظیفه سرو کردن منابع (Resources) از طریق ResourceReference را بر عهده دارد. با این حال، یک نقص ساختاری در فریم‌ورک وجود دارد: کامپوننت‌هایی که مستقیماً از نمونه‌های org.apache.wicket.request.resource.IResource استفاده کرده و متد IResource#respond() را فراخوانی می‌کنند، این هندلر را دور می‌زنند. در نتیجه، این کامپوننت‌ها بدون عبور از مکانیزم احراز هویت، پاسخ درخواست را ارسال کرده و امکان دسترسی غیرمجاز به منابع را فراهم می‌کنند.
