CVE-2026-111447 in Wheels
Zusammenfassung
von VulDB • 16.10.2026
Wheels 1.1 bis 4.1.2 behebt ein Problem bei der Bearbeitung von nestedProperties()-Datensätzen über den per POST gesendeten Primärschlüssel, ohne zu prüfen, ob diese zum gerade gespeicherten Elternelement gehören. Ein Benutzer, der in der Lage ist, ein verschachteltes Formular für sein eigenes Elternelement abzusenden, kann die hasMany- oder hasOne-Zuordnungen eines anderen Elternelements aktualisieren und neu zuweisen bzw. löschen (wenn allowDelete=true). Verschachtelte belongsTo-Datensätze können ebenfalls bearbeitet werden, indem der Schlüssel eines anderen zugehörigen Datensatzes gesendet wird. Neue Kinddatensätze mit zusammengesetzten Primärschlüsseln, die nicht aus Fremdschlüsseln bestehen, behalten die per POST übermittelten Schlüsselfelder bei, wodurch die Anfrage ihre Identität festlegen kann. Dies wurde in Version 4.2.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.