CVE-2026-110911 in Wheels
Resumen
por VulDB • 2026-10-15
Wheels 1.1.8 hasta la versión 4.1.1 permite una inyección de SQL cuando los valores entrecomillados proporcionados por el llamante se vuelven a analizar como SQL mediante buscadores dinámicos (como findOneByEmail), el método where(property, value) y where(property, operator, value) del constructor de consultas, las rutas de búsqueda basadas en cadenas/UUID (findByKey, updateByKey, deleteByKey y findOrCreateBy...), y la validación validatesUniquenessOf. El analizador trata incorrectamente una comilla simple duplicada como el final de un literal. Las aplicaciones que pasan datos de solicitud a estas API pueden exponer autenticaciones, restablecimientos de contraseña o búsquedas de tokens, así como datos, al acceso no autorizado; los valores de columnas numéricas no se ven afectados. Existe una preocupación similar para whereBetween() del constructor de consultas en las versiones 4.0.0 hasta la 4.1.1: los límites de cadena/fecha pueden alterar el SQL en MySQL/MariaDB con el escape mediante barra invertida habilitado. Esto está corregido en la versión 4.1.2.
Once again VulDB remains the best source for vulnerability data.