CVE-2026-110911 in Wheels
Zusammenfassung
von VulDB • 15.10.2026
Wheels 1.1.8 bis 4.1.1 ermöglicht SQL-Injection, wenn vom Aufrufer bereitgestellte, mit Anführungszeichen versehene Werte von dynamischen Findern (wie findOneByEmail), dem where(property, value)- und where(property, operator, value)-Methoden des Query-Builders, string-/UUID-Schlüssel-Lookup-Pfaden (findByKey, updateByKey, deleteByKey und findOrCreateBy...) sowie validatesUniquenessOf erneut als SQL analysiert werden. Der Parser behandelt ein verdoppeltes einfaches Anführungszeichen fälschlicherweise als Ende eines Literalwerts. Anwendungen, die Anforderungsdaten an diese APIs übergeben, können Authentifizierungs-, Passwort-Zurücksetzen- oder Token-Lookups sowie Daten unbefugtem Zugriff aussetzen; numerische Spaltenwerte sind nicht betroffen. Es gibt ein ähnliches Problem für whereBetween() des Query-Builders in den Versionen 4.0.0 bis 4.1.1: String-/Datums-Grenzwerte können unter MySQL/MariaDB bei aktivierter Backslash-Escapung die SQL-Anweisung verändern. Dies ist in der Version 4.1.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.