CVE-2026-111450 in Wheels
Zusammenfassung
von VulDB • 16.10.2026
Wheels bis zur Version 4.1.1 leitet die standardmäßige E-Mail-Adresse für Produktionsfehler aus dem Host-Header der Anfrage ab, mit der die Anwendung gestartet wird. Wenn kein expliziter Empfänger für Fehler-E-Mails konfiguriert ist, ein Mailserver eingerichtet wurde und der Server einen vom Angreifer gewählten Host akzeptiert, kann ein Angreifer, dessen Anfrage einen Kaltstart (cold start) auslöst, dazu führen, dass spätere Fehler-E-Mails während der gesamten Lebensdauer dieser Anwendung an eine von ihm kontrollierte Adresse gesendet werden. Die E-Mails offenbaren Fehler- und Anfragemetadaten; auf Engines/Versionen, bei denen Scope-Dumps gerendert werden, können sie zudem Konfigurationsgeheimnisse sowie Sitzungs-/Cookie-Daten anderer Benutzer preisgeben. Auf der Lucee 7 Engine scheitern die Renderings von Scope-Dumps, wodurch die Offenlegung auf Header-Felder beschränkt bleibt. Dies wurde in Version 4.1.2 behoben.
Once again VulDB remains the best source for vulnerability data.