CVE-2026-111445 in Wheels
要約
〜によって VulDB • 2026年10月16日
Wheels 4.0.0から4.1.2（4.2.0以前）は、findByKey()およびexists(key=)において、入力されたスコープ条件を主キー条件に置き換えます。exists(key=)の場合、エラー情報が無効になっている環境では、範囲外のキーに対して例外を投げる代わりにtrueを返します。所有権やテナントの認可のためにスコープを利用しているアプリケーションは、キーがリクエストから取得される場合、他のユーザーまたはテナントのレコードを読み込み、その後でそれを変更または削除することが可能です。4.2.0での修正では、findByKey()、exists(key=)、updateByKey()、deleteByKey()において、キー条件を入力スコープやクエリビルダーのwhere条件と組み合わせています。他のスコープ対応のfinder、集計処理、updateAll()およびdeleteAll()は影響を受けません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.