Wheels : injection SQL dans des chemins de requête, notamment sous MySQL

Veille sécuritéBackend & données

P3Critique

Une injection SQL affecte certains chemins de recherche dynamique et de construction de requêtes de Wheels lorsque des valeurs fournies par l’appelant sont réinterprétées comme du SQL. Les versions 1.1.8 à 4.1.1 sont concernées ; la fiche NVD a été mise à jour dans la période pour cette vulnérabilité qui peut toucher des applications utilisant MySQL.

IdentifiantCVE-2026-110911

GravitéCritique

Exploitationnon connue / non déterminée

Correctif4.1.2

Source : CVE-2026-110911 — NVD

Analyse technique

Le parseur traite incorrectement un guillemet simple doublé comme fin de littéral. Les chemins concernés comprennent notamment des finders dynamiques et where(property, value) ; le résumé NVD signale aussi un problème whereBetween() pour des bornes chaîne/date sur MySQL/MariaDB avec l’échappement par antislash activé.

Impact, versions et correctif

Événement datéLa fiche NVD a été substantiellement mise à jour le 2026-10-16T19:56:15.773Z, dans la période demandée ; la publication initiale date du 2026-10-15.

ImpactUne application utilisant ces chemins avec des données contrôlées par l’utilisateur peut subir une injection SQL et exposer des données ou des recherches sensibles.

Versions affectéesWheels 1.1.8 à 4.1.1

Version corrigée4.1.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,30% · percentile 20,9%

Publication2026-10-15T04:18:22.813Z

Mise à jour2026-10-16T19:56:15.773Z

Action recommandée

Mettre à niveau Wheels vers 4.1.2 et éviter de transmettre des données non fiables aux API de requête concernées.

Sources

CVE-2026-110911 — NVD

Priorisation DFS : P3 · 1 source(s).