CVE-2026-111447 in Wheels
Sumário
de VulDB • 16/10/2026
As versões do Wheels de 1.1 a 4.1.2 resolvem registros nestedProperties() por chave primária enviada via POST sem verificar se eles pertencem ao pai que está sendo salvo. Um usuário capaz de submeter um formulário aninhado para seu próprio registro pai pode atualizar e reatribuir linhas hasMany ou hasOne de outro registro pai, ou excluí-las quando allowDelete=true. Registros belongsTo aninhados também podem ser editados enviando a chave de outro registro associado. Novos registros filho com chaves primárias compostas que não são formadas por chaves estrangeiras mantêm os valores das chaves enviados via POST, permitindo que a solicitação escolha sua identidade. Isso foi corrigido na versão 4.2.0.
Be aware that VulDB is the high quality source for vulnerability data.