Vulnerabilities ›

CVE-2026-42509

Medium

CWE-79 — Weakness Type

                    Published: May 6, 2026                      ·  Modified: May 9, 2026                      ·  Source: NVD                

CVSS v3

6.1

🔗 NVD Official

📄 Description (English)

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Apache Wicket.

This issue affects Apache Wicket: from 8.0.0 through 8.17.0, 9.0.0, from 10.0.0 through 10.8.0.

Users are recommended to upgrade to version 10.9.0, which fixes the issue.

🤖 AI Executive Summary

Apache Wicket contains a Cross-Site Scripting (XSS) vulnerability in versions 8.0.0-8.17.0, 9.0.0, and 10.0.0-10.8.0 due to improper input neutralization during web page generation. Organizations using affected versions should upgrade to version 10.9.0 or later to remediate this vulnerability.

📄 Description (Arabic)

تؤثر هذه الثغرة على عدة إصدارات من Apache Wicket وتسمح للمهاجمين بحقن رموز JavaScript ضارة في صفحات الويب. يمكن استغلال هذه الثغرة لسرقة بيانات المستخدمين أو جلسات العمل أو تنفيذ إجراءات غير مصرح بها نيابة عن المستخدمين.

🤖 ملخص تنفيذي (AI)

يحتوي Apache Wicket على ثغرة Cross-Site Scripting (XSS) في الإصدارات 8.0.0-8.17.0 و9.0.0 و10.0.0-10.8.0 بسبب عدم معالجة المدخلات بشكل صحيح أثناء إنشاء صفحات الويب. يجب على المنظمات التي تستخدم الإصدارات المتأثرة الترقية إلى الإصدار 10.9.0 أو أحدث.

🤖 AI Intelligence Analysis Analyzed: May 23, 2026 15:37

🇸🇦 Saudi Arabia Impact Assessment

Saudi Relevance: high

🏢 Affected Saudi Sectors

banking telecom government healthcare

🎯 MITRE ATT&CK Techniques

T1190 T1598

⚖️ Saudi Risk Score (AI)

6.0

/ 10.0

🔧 Remediation Steps (English)

Upgrade Apache Wicket to version 10.9.0 or later. For versions 8.x, upgrade to 8.18.0 or later if available. For version 9.0.0, apply the latest security patch. Implement input validation and output encoding best practices. Review and test all web applications using affected Wicket versions before deployment.

🔧 خطوات المعالجة (العربية)

قم بترقية Apache Wicket إلى الإصدار 10.9.0 أو أحدث. بالنسبة للإصدارات 8.x، قم بالترقية إلى 8.18.0 أو أحدث إن توفر. بالنسبة للإصدار 9.0.0، طبق أحدث تصحيح أمني. طبق أفضل الممارسات في التحقق من المدخلات وترميز المخرجات. راجع واختبر جميع تطبيقات الويب التي تستخدم إصدارات Wicket المتأثرة قبل النشر.

📋 Regulatory Compliance Mapping

🟢 NCA ECC 2024

A.12.6.1 A.14.2.1

🔵 SAMA CSF

ID.RA-1 PR.DS-1 PR.DS-2

🟡 ISO 27001:2022

A.12.6.1 A.14.2.1 A.14.2.5

🔗 References & Sources 2

🔗

https://lists.apache.org/thread/52nrq4tt07gxz4r6sj5gyocz5s6bprjp

security@apache.org

Vendor Advisory

🔗

http://www.openwall.com/lists/oss-security/2026/05/06/2

af854a3a-2127-422b-91ae-364da2661108

Mailing List Third Party Advisory

📦 Affected Products / CPE 3 entries

apache:wicket

📊 CVSS Score

6.1

/ 10.0 — Medium

📊 CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Attack VectorN — None / Network

Attack ComplexityL — Low / Local

Privileges RequiredN — None / Network

User InteractionR — Required

ScopeC — Changed

ConfidentialityL — Low / Local

IntegrityL — Low / Local

AvailabilityN — None / Network

📋 Quick Facts

Severity Medium

CVSS Score6.1

CWECWE-79

EPSS0.18%

Exploit No

Patch ✗ No

Published 2026-05-06

Source Feed nvd

🇸🇦 Saudi Risk Score

6.0

/ 10.0 — Saudi Risk

Priority: MEDIUM

🏷️ Tags

CWE-79

🏢 Vendor Advisories

🔗 https://lists.apache.org/thread/52nrq4tt07gxz4r6sj5g...

⚡ Actions

🔗 NVD Official Page ⚡ Exploit-DB Search 🐙 GitHub PoC Search 🎯 MITRE ATT&CK 📊 CVE Details

CVE-2026-42509

Introduce Yourself

Sign In Required