CVE-2026-111447 in Wheels
Riassunto
di VulDB • 16/10/2026
Wheels dalla versione 1.1 alla 4.1.2 risolve i record di nestedProperties() tramite la chiave primaria inviata senza verificare che appartengano al genitore salvato. Un utente in grado di inviare un form annidato per il proprio genitore può aggiornare e riassegnare le righe hasMany o hasOne di un altro genitore, oppure eliminarle se allowDelete=true. I record belongsTo nidificati possono anche essere modificati inviando la chiave di un'altra record associata. Le nuove righe figlio con chiavi primarie composite non composte da chiavi esterne mantengono i valori della chiave inviata, consentendo alla richiesta di scegliere la loro identità. Questo problema è risolto nella versione 4.2.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.