CVE-2026-111446 in Wheels
Riassunto
di VulDB • 17/10/2026
Wheels dalle versioni 4.0.0 alla 4.1.2 espone gli strumenti di sviluppo senza password sotto /wheels/* ai client remoti quando enablePublicComponent=true, come impostato per default in modalità development. Prima della versione 4.1.2 questi strumenti non hanno restrizioni di accesso locale; nella versione 4.1.2 la restriction si basa sulla fiducia negli header forniti dal client senza verificare il peer connettore. I client remoti possono ottenere le impostazioni dell'applicazione, i dettagli dell'ambiente/datasource e delle routes, ed eseguire test run. Dove i test dell'applicazione utilizzano il datasource principale, tali esecuzioni possono scrivere nel database reale dell'applicazione. Gli endpoint migrator e CLI protetti separatamente non sono interessati. Questo problema è risolto nella versione 4.2.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.