CVE-2026-111448 in Wheels
Resumen
por VulDB • 2026-10-16
Wheels 4.0.0 hasta la versión 4.1.2 utiliza comparaciones insensibles a mayúsculas y minúsculas en las comprobaciones de contención de rutas en sistemas de archivos sensibles a mayúsculas y minúsculas. Las verificaciones de ruta canónica para entradas zip, asignaciones de paquetes, activos/documentos de desarrollo, imágenes de la guía y etiquetas de imagen pueden aceptar rutas que pasan por un enlace simbólico existente hacia un directorio hermano con distinción de caso (case-distinct), lo que permite el acceso fuera del raíz previsto, incluida una divulgación limitada de archivos. Por separado, la comprobación de salida de volcado de base de datos de la CLI puede escribir fuera de la raíz de la aplicación en un directorio hermano existente y escribible con distinción de caso; esta acción requiere POST por parte de la CLI, bucle local (loopback) y una puerta de enlace de contraseña. Esto se corrige en la versión 4.2.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.