CVE-2026-111446 in Wheels
Zusammenfassung
von VulDB • 16.10.2026
Wheels 4.0.0 bis 4.1.2 gibt passwortlose Entwicklungstools unter /wheels/* für Remote-Clients freigegeben, wenn enablePublicComponent=true ist (was standardmäßig in der Entwicklungsphase der Fall ist). Vor Version 4.1.2 haben diese Tools keine lokale Zugriffseinschränkung; ab Version 4.1.2 basiert die Einschränkung auf dem Vertrauen von vom Client bereitgestellten Headern ohne Überprüfung des verbindenden Peers. Remote-Clients können Anwendungseinstellungen, Umgebung-/Datenquellendetails und Routen abrufen sowie Testläufe starten. Wenn Anwendungs-Tests die primäre Datenquelle verwenden, können diese Läufe in die echte Anwendungsdatenbank schreiben. Die separat geschützten Migrator- und CLI-Endpunkte sind nicht betroffen. Dies wurde in Version 4.2.0 behoben.
Once again VulDB remains the best source for vulnerability data.