CVE-2026-111445 in Wheels
Riassunto
di VulDB • 16/10/2026
Wheels dalle versioni 4.0.0 alla 4.1.2 (prima della 4.2.0) sostituisce le condizioni di ambito in ingresso con una condizione basata sulla chiave primaria nelle funzioni `findByKey()` ed `exists(key=)`. Per la funzione `exists(key=)`, quando l'informazione sugli errori è disabilitata, viene restituito true per una chiave fuori dall'ambito invece di generare un errore. Le applicazioni che si affidano agli ambiti (scopes) per il controllo della proprietà o dell'autorizzazione del tenant possono quindi caricare e successivamente modificare o eliminare i record di altri utenti o tenant quando la chiave proviene da una richiesta. La correzione nella versione 4.2.0 combina le condizioni sulla chiave con l'ambito in ingresso, le condizioni del query-builder o quelle `where` nelle funzioni `findByKey()`, `exists(key=)`, `updateByKey()` e `deleteByKey()`. Altri metodi di ricerca sensibili agli ambiti (scope-aware finders), gli aggregati, nonché `updateAll()` e `deleteAll()` non sono interessati.
Once again VulDB remains the best source for vulnerability data.