CVE-2026-66391

Les applications web Apache Wicket (versions 9.0.0–9.23.0 et 10.0.0–10.9.0) sont affectées par une faille où les jetons de sécurité sont générés avec un manque de hasard. Un attaquant non authentifié disposant d'un accès réseau peut prédire ces valeurs pour lire des données sensibles ou modifier le contenu d'une page sans aucune interaction de l'utilisateur. Cette exploitation est relativement facile à exécuter car elle ne nécessite aucun privilège particulier ni la participation de la victime.