Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la creación de una URL especial en Apache Wicket (CVE-2020-11976)

Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
11/08/2020
Última modificación:
07/11/2023

Descripción

Al crear una URL especial, es posible hacer que Wicket entregue plantillas HTML no procesadas. Esto permitiría a un atacante visualizar información posiblemente confidencial dentro de una plantilla HTML que es comúnmente eliminada durante la renderización. Están afectadas las versiones 7.16.0, 8.8.0 y 9.0.0-M5 de Apache Wicket

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:apache:fortress:2.0.5:*:*:*:*:*:*:*
cpe:2.3:a:apache:wicket:*:*:*:*:*:*:*:* 7.17.0 (excluyendo)
cpe:2.3:a:apache:wicket:*:*:*:*:*:*:*:* 8.0.0 (incluyendo) 8.9.0 (excluyendo)
cpe:2.3:a:apache:wicket:9.0.0:milestone1:*:*:*:*:*:*
cpe:2.3:a:apache:wicket:9.0.0:milestone2:*:*:*:*:*:*
cpe:2.3:a:apache:wicket:9.0.0:milestone3:*:*:*:*:*:*
cpe:2.3:a:apache:wicket:9.0.0:milestone4:*:*:*:*:*:*
cpe:2.3:a:apache:wicket:9.0.0:milestone5:*:*:*:*:*:*