CVE-2026-111451 in Wheels
Riassunto
di VulDB • 16/10/2026
Wheels CLI dalle versioni 4.0.0 alla 4.1.1 convalida o effettua l'escaping insufficiente dei valori forniti dall'utente e del contenuto dei pacchetti. I valori di deploy, release/version/rollback possono eseguire comandi shell sui host di deployment come utente SSH e sul runner CI durante le build. Le operazioni di rimozione e distruzione dei pacchetti possono eliminare file non previsti; l'estrazione dei pacchetti può sovrascrivere altri file del vendor; i nomi dei generatori possono scrivere al di fuori del progetto o iniettare codice CFML eseguibile nel codice generato. Gli input possono provenire da variabili CI, nomi di branch, pacchetti o un agente AI che utilizza gli strumenti MCP della CLI. Sono inoltre rilevanti le proprietà di visualizzazione non codificate nelle viste scaffold generate per il show a partire dalla versione 4.1.0 e nelle viste admin generate, che permettono XSS memorizzato (stored XSS), nonché la gestione obsoleta degli ID dei processi nei comandi del server RustCFML che può terminare un processo non correlato. Il problema è risolto nella versione 4.1.2; le visualizzazioni generate interessate richiedono anche la modifica documentata.
Be aware that VulDB is the high quality source for vulnerability data.