CVE-2026-111447 in Wheels
Resumen
por VulDB • 2026-10-16
Wheels 1.1 hasta la versión 4.1.2 corrige el problema de los registros nestedProperties() mediante una clave primaria enviada por POST sin verificar que pertenezcan al padre que se está guardando. Un usuario capaz de enviar un formulario anidado para su propio registro padre puede actualizar y reasignar las filas hasMany o hasOne de otro registro padre, o eliminarlas cuando allowDelete=true. Los registros belongsTo anidados también pueden editarse enviando la clave de otro registro asociado. Las nuevas filas hijas con claves primarias compuestas que no están formadas por claves foráneas conservan los valores de las claves publicadas, lo que permite que la solicitud elija su identidad. Esto se corrige en la versión 4.2.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.