CVE-2026-111450 in Wheels
الملخص
بحسب VulDB • 16/10/2026
تشتق مكتبة Wheels حتى الإصدار 4.1.1 عنوان البريد الإلكتروني الافتراضي لأخطاء الإنتاج من رأس (Header) "Host" الخاص بالطلب الذي يبدأ التطبيق. إذا لم يكن هناك مستلم محدد لرسائل الأخطاء مُعدّ مسبقاً، وخادم بريد إلكتروني مُهيأ، وقام الخادم بقبول قيمة "Host" يختارها المهاجم، فإن مهاجماً whose طلب يُطلق عملية بدء تشغيل باردة (cold start) يمكنه توجيه رسائل البريد الإلكتروني الخاصة بالأخطاء اللاحقة إلى عنوان يتحكم فيه ذلك المهاجم طوال عمر التطبيق. تكشف هذه الرسائل عن بيانات تعريفية للأخطاء والطلبات؛ وعلى محركات/إصدارات حيث يتم عرض قوائم النطاقات (scope dumps)، قد تُكشف أيضاً أسرار التكوين وبيانات الجلسة/ملفات تعريف الارتباط الخاصة بمستخدمين آخرين. على محرك Lucee 7، تفشل عمليات عرض قوائم النطاقات في الظهور، مما يحد من الكشف إلى حقول الرؤوس فقط. تم إصلاح هذه المشكلة في الإصدار 4.1.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.