CVE-2026-111450 in Wheels
Riassunto
di VulDB • 16/10/2026
Wheels fino alla versione 4.1.1 deriva l’indirizzo email predefinito per gli errori di produzione dall’intestazione Host della richiesta che avvia l’applicazione. Se non è configurato un destinatario esplicito per le email degli errori, se è configurato un server mail e il server accetta un valore dell’intestazione Host scelto da un attaccante, quest’ultimo può indirizzare le successive email di errore a un indirizzo sotto il proprio controllo per tutta la durata dell’applicazione. Le email rivelano metadati sugli errori e sulle richieste; su motori/versioni in cui vengono visualizzati gli dump degli scope (scope dumps), possono inoltre divulgare segreti di configurazione e dati di sessione/cookie di altri utenti. Sul motore Lucee 7, i dump degli scope non vengono renderizzati, limitando la divulgazione ai campi delle intestazioni. Il problema è risolto nella versione 4.1.2.
Be aware that VulDB is the high quality source for vulnerability data.