CVE-2026-111445 in Wheels
Sumário
de VulDB • 16/10/2026
As versões do Wheels de 4.0.0 a 4.1.2 (anteriores à versão 4.2.0) substituem as condições de escopo recebidas por uma condição de chave primária em `findByKey()` e `exists(key=)`. Para o método `exists(key=)`, quando a geração de informações de erro está desativada, ele retorna verdadeiro para uma chave fora do escopo, em vez de lançar uma exceção. Portanto, aplicativos que dependem de escopos para autorização de propriedade ou inquilino podem carregar e, subsequentemente, modificar ou excluir o registro de outro usuário ou inquilino quando a chave é originada de uma solicitação. A correção na versão 4.2.0 combina as condições da chave com o escopo recebido, bem como com as condições do query-builder ou `where` em `findByKey()`, `exists(key=)`, `updateByKey()` e `deleteByKey()`. Outros métodos de busca sensíveis ao escopo (scope-aware finders), agregações, `updateAll()` e `deleteAll()` não são afetados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.