CVE-2026-111445 in Wheels
요약
\~에 의해 VulDB • 2026. 10. 16.
Wheels 4.0.0부터 4.2.0 이전의 4.1.2까지 버전은 `findByKey()` 및 `exists(key=)`에서 들어오는 scope 조건을 기본 키(primary-key) 조건으로 대체합니다. `exists(key=)`의 경우, 오류 정보가 비활성화된 프로덕션 환경에서는 범위를 벗어난 key에 대해 예외를 throw하는 대신 true를 반환합니다. 따라서 소유권 또는 테넌트 인증(scope-based authorization)에 scope를 의존하는 애플리케이션은 요청에서 전달된 key가 해당 범위 내에 있지 않더라도 다른 사용자나 테넌트의 레코드를 로드한 후 수정하거나 삭제할 수 있습니다. 4.2.0의 수정 사항에서는 `findByKey()`, `exists(key=)`, `updateByKey()`, `deleteByKey()` 메서드에서 키 조건을 들어오는 scope, 쿼리 빌더(where 절 등), 또는 where 조건과 결합합니다. 그 외 scope를 인식하는 finder들, aggregates, `updateAll()`, `deleteAll()`은 영향을 받지 않습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.