CVE-2026-111451 in Wheels
Zusammenfassung
von VulDB • 16.10.2026
Wheels CLI 4.0.0 bis 4.1.1 validiert oder maskiert von Aufrufern bereitgestellte Werte und Paketinhalte unzureichend. Deploy-Release-/Version-/Rollback-Werte können Shell-Befehle auf den Deploy-Hosts als SSH-Benutzer sowie auf dem CI-Läufer während der Builds ausführen. Pfade zum Entfernen und Zerstören von Paketen können unbeabsichtigte Dateien löschen; das Extrahieren von Paketen kann andere Vendor-Dateien überschreiben; Generator-Namen können außerhalb des Projekts schreiben oder ausführbaren CFML in den generierten Code injizieren. Eingaben können von CI-Variablen, Branch-Namen, Paketen oder einem KI-Agenten stammen, der die MCP-Tools der CLI verwendet. Ebenfalls relevant sind nicht codierte Anzeige-Eigenschaften in seit 4.1.0 generierten Scaffold-Show-Ansichten sowie in generierten Admin-Ansichten, was zu Stored XSS (Cross-Site Scripting) führt, und eine veraltete Prozess-ID-Behandlung in RustCFML-Serverbefehlen, die einen unrelateden Prozess beenden kann. Dies ist in Version 4.1.2 behoben; betroffene, bereits generierte Ansichten erfordern zudem die dokumentierte Bearbeitung.
Be aware that VulDB is the high quality source for vulnerability data.