CVE-2026-110911 Inyección SQL en Wheels en dynamic finders y query builder

Qué es CVE-2026-110911

Wheels 1.1.8 hasta 4.1.1 permite inyección SQL cuando valores entrecomillados provistos por el llamador se vuelven a interpretar como SQL en dynamic finders como findOneByEmail, en where(property, value) y where(property, operator, value), en búsquedas por clave string/UUID y en validatesUniquenessOf, porque el parser trata una comilla simple duplicada como fin de literal. Aplicaciones que pasan datos de solicitudes a estas APIs exponen autenticación, restablecimiento de contraseña, tokens y datos; los valores de…

Productos y versiones afectadas

• Wheels

  • desde 1.1.8 hasta antes de 4.1.2

Qué hacer

1. Verificá si usás Wheels y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 9.8 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Wheels 1.1.8 through 4.1.1 allows SQL injection when caller-supplied quoted values are parsed again as SQL by dynamic finders (such as findOneByEmail), the query builder's where(property, value) and where(property, operator, value), string/UUID-key lookup paths (findByKey, updateByKey, deleteByKey and findOrCreateBy...), and validatesUniquenessOf. The parser incorrectly treats a doubled single quote as the end of a literal. Applications passing request data to these APIs can expose authentication, password-reset or token lookups, and data to unauthorized access; numeric-column values are not affected. There is a similar concern for query-builder whereBetween() in 4.0.0 through 4.1.1: string/date bounds can alter SQL on MySQL/MariaDB with backslash escaping enabled. This is fixed in 4.1.2.

Referencias

• github.com/wheels-dev/wheels/security/advisories/GHSA-96rm-h22v-925xVENDOR-ADVISORY

Historial de la alerta

1. 15 OCT · 00:44VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.