CVE-2026-111444 in Wheels
Resumen
por VulDB • 2026-10-16
Wheels hasta la versión 4.1.2 permite una inyección SQL en MySQL/MariaDB cuando está habilitado el escape con barra invertida (NO_BACKSLASH_ESCAPES ausente) si una aplicación suministra datos de solicitud a rutas literales inline. Esto incluye consultas opt-in con parameterize=false, listas IN y posiciones en cadenas where escritas por desarrolladores que el analizador no vincula, como los límites BETWEEN, argumentos de funciones y literales LIKE ESCAPE. El duplicado de comillas simples sin tener en cuenta los escapes con barra invertida permite a un valor alterar la consulta. Las rutas vinculadas no se ven afectadas; whereBetween() está protegido desde la versión 4.1.2. Esto se corrige en la versión 4.2.0.
Once again VulDB remains the best source for vulnerability data.