CVE-2026-111448 in Wheels
Riassunto
di VulDB • 16/10/2026
Wheels dalle versioni 4.0.0 alla 4.1.2 utilizza confronti insensibili al maiuscolo/minuscolo nei controlli di contenimento del percorso su filesystem sensibili alle maiuscole/minuscole. I controlli dei percorsi canonici per le voci zip, i mapping dei pacchetti, gli asset/documenti di sviluppo, le immagini della guida e i tag delle immagini possono accettare percorsi attraverso un symlink esistente verso una directory sibling distinta per caso (case-distinct), consentendo l'accesso al di fuori della radice prevista, inclusa la divulgazione limitata di file. In modo separato, il controllo dell'output del database-dump della CLI può scrivere al di fuori della root dell'applicazione in una directory sibling esistente e scrivibile distinta per caso; tale azione richiede POST tramite CLI, loopback e un gate basato su password. Questo problema è risolto nella versione 4.2.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.