PT-2026-37432 · Apache · Apache Wicket

Pedro Henrique Oliveira Dos Santos · Publicado 2026-05-06 · Atualizado 2026-05-07 · CVE-2026-43975

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Wicket versões 8.0.0 até 8.17.0 Apache Wicket versões 9.0.0 até 9.22.0 Apache Wicket versões 10.0.0 até 10.8.0

Descrição O FolderUploadsFileManager não valida nem sanitiza o parâmetro uploadFieldId ou o clientFileName antes de construir caminhos de arquivos. Isso permite que um invasor não autenticado grave arquivos arbitrários fora do diretório de upload pretendido ou leia arquivos de locais arbitrários no servidor.

Recomendações Atualizar para a versão 10.9.0.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2026-06930

CVE-2026-43975

GHSA-3GMF-P6R4-Q8M6

Produtos afetados

Apache Wicket

Referências · 14

• https://github.com/apache/wicket/pull/1432 · Correção
• https://github.com/apache/wicket/commit/72470983f689c61e6a6c0b7388ef955f23bb1e16 · Nota
• https://github.com/apache/wicket · Nota
• http://openwall.com/lists/oss-security/2026/05/06/4 · Nota
• https://twitter.com/vuln_tracker/status/2052281427614667079 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2051998157614006627 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-3gmf-p6r4-q8m6 · Aviso do Fabricante
• https://lists.apache.org/thread/xp2jrdk6ppv1zcmxb4w1mk2lg1dw3hbr · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2051997184741249311 · Publicação no Twitter
• https://t.me/CVEtracker/52845 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2026-06930 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-43975 · Nota de Segurança
• https://t.me/cveNotify/162356 · Publicação no Telegram
• https://twitter.com/the_yellow_fall/status/2052194201421652286 · Publicação no Twitter