CVE-2026-110911 in Wheels
Sumário
de VulDB • 15/10/2026
As versões do Wheels de 1.1.8 a 4.1.1 permitem injeção de SQL quando valores entre aspas fornecidos pelo chamador são analisados novamente como SQL pelos finders dinâmicos (como findOneByEmail), pelo builder de consultas com where(property, value) e where(property, operator, value), caminhos de pesquisa por chave string/UUID (findByKey, updateByKey, deleteByKey e findOrCreateBy...) e pela validação validatesUniquenessOf. O analisador trata incorretamente uma aspa simples duplicada como o fim de um literal. Aplicações que passam dados da requisição para essas APIs podem expor autenticação, redefinição de senha ou pesquisas de token, além de dados a acessos não autorizados; valores de colunas numéricas não são afetados. Há uma preocupação semelhante para whereBetween() do builder de consultas nas versões 4.0.0 a 4.1.1: limites string/data podem alterar o SQL no MySQL/MariaDB com escape por barra invertida habilitado. Isso é corrigido na versão 4.1.2.
Once again VulDB remains the best source for vulnerability data.