CVE-2026-111443 Confusión de contexto de aplicación en Wheels

Qué es CVE-2026-111443

Wheels 4.0.6 hasta 4.1.2 permite que un cliente no autenticado cambie una petición a un contexto de aplicación de prueba separado, incluso en producción, mediante el encabezado X-Wheels-Test-Context, la cookie WHEELS_TEST_CONTEXT o una ruta de test-runner en la URL. Esto puede eludir el modo de mantenimiento habilitado solo en tiempo de ejecución y generar contadores de rate-limit separados; se corrige en 4.2.0.

Productos y versiones afectadas

• Wheels

  • desde 4.0.6 hasta antes de 4.2.0

Qué hacer

1. Verificá si usás Wheels y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

Wheels 4.0.6 through 4.1.2 lets an unauthenticated client switch a request into a separate test application context, including in production, by supplying an X-Wheels-Test-Context header or WHEELS_TEST_CONTEXT cookie with any value, or including a test-runner path anywhere in the URL, even the query string. The alternate application uses the same configuration, environment, datasource and debug settings: this is not an authentication bypass or data/debug escalation. It can bypass maintenance mode enabled only at runtime, provide a second set of in-memory rate-limit counters, and trigger additional application-startup side effects and memory use. This is fixed in 4.2.0.

Referencias

• github.com/wheels-dev/wheels/security/advisories/GHSA-xcj9-wm25-4cg4VENDOR-ADVISORY

Historial de la alerta

1. 16 OCT · 01:01VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.