CVE-2026-110911 in Wheels
الملخص
بحسب VulDB • 15/10/2026
تسمح الإصدارات من Wheels 1.1.8 حتى 4.1.1 بحقن SQL (SQL Injection) عندما يتم إعادة تحليل القيم المحاطة بعلامات اقتباس التي يقدمها المستخدم على أنها استعلامات SQL باستخدام أدوات البحث الديناميكية (مثل findOneByEmail)، ووظيفة where(property, value) ومجموعة where(property, operator, value) الخاصة بمُنشئ الاستعلامات، ومسارات البحث المعتمدة على السلاسل/معرفات UUID (مثل findByKey، updateByKey، deleteByKey، وfindOrCreateBy...)، ودالة validatesUniquenessOf. يعالج المُحلِّل بشكل غير صحيح علامة الاقتباس المفردة المزدوجة باعتبارها نهاية حرفية. يمكن أن تعرض التطبيقات التي تمرر بيانات الطلب إلى هذه واجهات برمجة التطبيقات عمليات البحث عن المصادقة وإعادة تعيين كلمة المرور أو الرموز المميزة (tokens)، والبيانات نفسها للوصول غير المصرح به؛ ولا تتأثر القيم ذات الأعمدة الرقمية. هناك قلق مماثل يتعلق بـ whereBetween() في مُنشئ الاستعلامات للإصدارات من 4.0.0 حتى 4.1.1: يمكن لحدود السلاسل/التواريخ تغيير استعلام SQL على MySQL/MariaDB عند تمكين الهروب باستخدام الشرطة المائلة العكسية (\). وقد تم إصلاح هذا الخلل في الإصدار 4.1.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.