CVE-2026-111450 in Wheels
요약
\~에 의해 VulDB • 2026. 10. 16.
Wheels 4.1.1 이전 버전은 애플리케이션 시작 시 요청의 Host 헤더에서 기본 프로덕션 오류 이메일 주소를 파생합니다. 명시적인 오류 이메일 수신자가 구성되어 있지 않고, 메일 서버가 구성되어 있으며 서버가 공격자가 선택한 Host를 허용하는 경우, 콜드 스타트를 유발하는 요청을 수행하는 공격자는 해당 애플리케이션의 수명 동안 후속 오류 이메일을 자신이 통제하는 주소로 유도할 수 있습니다. 이러한 이메일에는 오류 및 요청 메타데이터가 포함되며, 범위 덤프가 렌더링되는 엔진/버전에서는 구성 시크릿과 다른 사용자의 세션/쿠키 데이터도 노출될 수 있습니다. Lucee 7 엔진의 경우 범위 덤프 렌더링이 실패하여 헤더 필드만 노출됩니다. 이 문제는 4.1.2에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.