CVE-2026-111448 in Wheels
Zusammenfassung
von VulDB • 16.10.2026
Wheels 4.0.0 bis 4.1.2 verwendet bei Pfad-Containment-Prüfungen auf case-sensitiven Dateisystemen groß-/kleinschreibungsunabhängige Vergleiche. Canonical-Pfad-Checks für ZIP-Einträge, Paketzuordnungen, Entwicklungsassets/Dokumentationen, Leitbildbilder und Image-Tags können Pfade über einen vorhandenen Symlink zu einem fallunterschiedlichen Geschwisterverzeichnis akzeptieren, was den Zugriff außerhalb des beabsichtigten Root-Verzeichnisses ermöglicht, einschließlich einer begrenzten Offenlegung von Dateien. Unabhängig davon kann die CLI-Ausgabeprüfung für Datenbank-Dumps außerhalb des Anwendungsroots in ein vorhandenes beschreibbares, fallunterschiedliches Geschwisterverzeichnis schreiben; diese Aktion erfordert den CLI POST, Loopback und eine Passwort-Authentifizierung. Dies wurde in Version 4.2.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.