CVE-2026-110911 in Wheels
Сводка
по VulDB • 15.10.2026
Wheels версий от 1.1.8 до 4.1.1 уязвим к инъекциям SQL, когда значения с цитированием, предоставленные вызывающей стороной, повторно парсятся как SQL-код динамическими методами поиска (такими как findOneByEmail), методом where(property, value) и where(property, operator, value) конструктора запросов, путями поиска по строковым/UUID-ключам (findByKey, updateByKey, deleteByKey и findOrCreateBy...), а также методом validatesUniquenessOf. Парсер ошибочно интерпретирует двойную одинарную кавычку как конец литерала. Приложения, передающие данные запроса в эти API, могут подвергнуть несанкционированному доступу механизмы аутентификации, сброса паролей или поиска токенов, а также сами данные; значения числовых столбцов не затронуты. Аналогичная проблема существует для метода whereBetween() конструктора запросов в версиях 4.0.0–4.1.1: строковые/датированные границы могут изменять SQL-запрос на MySQL/MariaDB при включенном экранировании обратными слэшами. Проблема исправлена в версии 4.1.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.