CVE-2026-110909 Verificación de origen insuficiente en Wheels CLI

Qué es CVE-2026-110909

Wheels CLI hasta 4.1.0 no verifica que el servidor de desarrollo local que responde a sus solicitudes HTTP pertenezca al proyecto actual. Un proceso escuchando en un puerto objetivo puede recibir la contraseña de recarga y el código enviados mediante wheels reload o wheels console, y otros comandos pueden ejecutar operaciones no deseadas contra el servidor y la base de datos de otra aplicación local. Corregido en 4.1.1.

Productos y versiones afectadas

• Wheels Wheels CLI

  • hasta antes de 4.1.1

Qué hacer

1. Verificá si usás Wheels CLI y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.0 MEDIA

CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Wheels CLI through 4.1.0 does not verify that the local development server answering its HTTP requests belongs to the current project. A process listening on a port targeted by the CLI can receive the project's reload password and code submitted through wheels reload or wheels console; console also probes common ports when the project server is down. Other commands can perform unintended state-changing operations against a different local application's server and database. Exploitation requires a process listening on a targeted local port and the developer running an affected command. This is fixed in 4.1.1, including changes to the CLI and application template.

Referencias

• github.com/wheels-dev/wheels/security/advisories/GHSA-x3cm-2j3q-jgg4VENDOR-ADVISORY

Historial de la alerta

1. 15 OCT · 00:44VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.