CVE-2026-111445 in Wheels
Zusammenfassung
von VulDB • 16.10.2026
Wheels 4.0.0 bis 4.1.2 (vor Version 4.2.0) ersetzt eingehende Bereichsbedingungen durch eine Primärschlüsselbedingung in findByKey() und exists(key=). Bei exists(key=) wird bei deaktivierter Fehlerinformationsausgabe im Produktivbetrieb für einen außerhalb des Bereichs liegenden Schlüssel true zurückgegeben, anstatt eine Ausnahme auszulösen. Anwendungen, die sich auf Bereiche zur Eigentums- oder Mandantenautorisierung verlassen, können daher den Datensatz eines anderen Benutzers oder Mandanten laden und anschließend ändern oder löschen, wenn der Schlüssel von einer Anfrage stammt. Die Korrektur in Version 4.2.0 kombiniert Schlüsselfilterbedingungen mit eingehenden Bereichs-, Query-Buildern- oder where-Bedingungen in findByKey(), exists(key=), updateByKey() und deleteByKey(). Andere bereichsbewusste Finder-Funktionen, Aggregatfunktionen sowie updateAll() und deleteAll() sind nicht betroffen.
Once again VulDB remains the best source for vulnerability data.