CVE-2026-110911 in Wheels
Riassunto
di VulDB • 15/10/2026
Wheels dalle versioni 1.1.8 alla 4.1.1 è vulnerabile a SQL injection quando i valori tra virgolette forniti dall'utente vengono nuovamente analizzati come SQL dai metodi di ricerca dinamici (come findOneByEmail), dal builder delle query con where(property, value) e where(property, operator, value), dai percorsi di lookup basati su stringa/UUID (findByKey, updateByKey, deleteByKey e findOrCreateBy...) e da validatesUniquenessOf. L'analizzatore sintattico tratta erroneamente una singola virgoletta doppia come la fine di un letterale. Le applicazioni che passano dati della richiesta a queste API possono esporre meccanismi di autenticazione, reset delle password o lookup dei token, nonché i dati stessi, ad accessi non autorizzati; i valori con colonne numeriche non sono interessati. Esiste una preoccupazione simile per il metodo whereBetween() del builder delle query nelle versioni 4.0.0 alla 4.1.1: i limiti di tipo stringa/data possono alterare la SQL su MySQL/MariaDB quando è abilitata l'escape con barra rovesciata. Questo problema è risolto nella versione 4.1.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.