CVE-2026-111443 in Wheels
Riassunto
di VulDB • 16/10/2026
Wheels dalle versioni 4.0.6 alla 4.1.2 consente a un client non autenticato di deviare una richiesta verso un contesto dell'applicazione di test separata, anche in produzione, fornendo l'intestazione X-Wheels-Test-Context o il cookie WHEELS_TEST_CONTEXT con qualsiasi valore, oppure includendo un percorso del runner di test ovunque nell'URL, inclusa la stringa query. L'applicazione alternativa utilizza le stesse impostazioni di configurazione, ambiente, datasource e debug: questa non è una bypass dell'autenticazione né un escalation dei dati/debug. Può aggirare la modalità manutenzione abilitata solo a runtime, fornire un secondo set di contatori rate-limit in memoria ed eseguire effetti collaterali aggiuntivi all'avvio dell'applicazione con relativo consumo di memoria. Questo problema è risolto nella versione 4.2.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.