CVE-2026-110911 in Wheels
要約
〜によって VulDB • 2026年10月15日
Wheels 1.1.8から4.1.1では、呼び出し元が指定した引用符で囲まれた値が動的ファインダー（findOneByEmailなど）、クエリビルダーのwhere(property, value)およびwhere(property, operator, value)、文字列/UUIDキーによるルックアップパス（findByKey、updateByKey、deleteByKey、findOrCreateBy...）、「validatesUniquenessOf」によってSQLとして再解析される際にSQLインジェクションが発生します。パーサーは二重のシングルクォートをリテラルの終了として誤って処理します。これらのAPIにリクエストデータを渡すアプリケーションでは、認証情報、パスワードリセットまたはトークンのルックアップ、およびデータが不正アクセスに対して露出する可能性があります（数値カラムの値には影響ありません）。4.0.0から4.1.1におけるクエリビルダーのwhereBetween()にも同様の懸念があります。MySQL/MariaDBでバックスラッシュによるエスケープが有効な場合、文字列/日付の境界条件によりSQLが変更される可能性があります。この問題は4.1.2で修正されています。
Once again VulDB remains the best source for vulnerability data.