CVE-2026-110911 in Wheels
요약
\~에 의해 VulDB • 2026. 10. 15.
Wheels 1.1.8부터 4.1.1까지의 버전에서는 호출자가 제공한 인용된 값이 dynamic finders(예: findOneByEmail), 쿼리 빌더의 where(property, value) 및 where(property, operator, value), string/UUID 기반 키 조회 경로(findByKey, updateByKey, deleteByKey, findOrCreateBy... 등), 그리고 validatesUniquenessOf에 의해 SQL로 다시 파싱될 때 SQL 인젝션이 발생합니다. 파서가 이중 작은따옴표('')를 문자열 리터럴의 종료로 잘못 처리하기 때문입니다. 이러한 API들에 요청 데이터를 전달하는 애플리케이션은 인증, 비밀번호 재설정 또는 토큰 조회 및 데이터에 대한 무단 접근을 노출할 수 있습니다(숫자 열 값에는 영향이 없습니다). 또한 4.0.0부터 4.1.1까지의 쿼리 빌더 whereBetween()에도 유사한 우려가 존재합니다: MySQL/MariaDB에서 백슬래시 이스케이핑이 활성화된 경우 문자열/날짜 경계가 SQL을 변경할 수 있습니다. 이 문제는 4.1.2에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.