CVE-2026-111445 in Wheels
Resumen
por VulDB • 2026-10-16
Wheels 4.0.0 hasta 4.1.2 (antes de la versión 4.2.0) reemplaza las condiciones del ámbito entrante con una condición basada en la clave primaria en `findByKey()` y `exists(key=)`. Para `exists(key=)`, cuando la información de error está deshabilitada, se devuelve true para una clave fuera del ámbito en lugar de lanzar un error. Por lo tanto, las aplicaciones que dependen de los ámbitos para la autorización por propiedad o inquilino pueden cargar y posteriormente modificar o eliminar el registro de otro usuario o inquilino cuando la clave proviene de una solicitud. La corrección en la versión 4.2.0 combina las condiciones de la clave con el ámbito entrante, así como con las condiciones del constructor de consultas (query-builder) o `where` en `findByKey()`, `exists(key=)`, `updateByKey()` y `deleteByKey()`. Otros métodos de búsqueda conscientes del ámbito, agregados, `updateAll()` y `deleteAll()` no se ven afectados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.