CVE-2026-111444 in Wheels
Zusammenfassung
von VulDB • 16.10.2026
Wheels bis Version 4.1.2 ermöglicht SQL-Injection auf MySQL/MariaDB, wenn die Backslash-Escapung aktiviert ist (NO_BACKSLASH_ESCAPES nicht gesetzt), wenn eine Anwendung Anfragedaten in Inline-Literal-Pfade eingibt. Dazu gehören opt-in Parameterize=false-Abfragen und IN-Listen sowie Positionen in vom Entwickler geschriebenen WHERE-Zeichenfolgen, die der Parser nicht bindet, wie BETWEEN-Grenzwerte, Funktionsargumente und LIKE ESCAPE-Literale. Das Verdoppeln von einfachen Anführungszeichen ohne Berücksichtigung der Backslash-Escapings ermöglicht es einem Wert, die Abfrage zu verändern. Gebundene Pfade sind davon nicht betroffen; whereBetween() ist ab 4.1.2 gebunden. Dies wurde in Version 4.2.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.