Veille sécuritéBackend & données
P3Critique
CVE-2026-111444 est une injection SQL dans Wheels lorsque des données de requête atteignent certains chemins utilisant des littéraux SQL non paramétrés sur MySQL/MariaDB avec l’échappement par antislash activé. Les chemins liés ne sont pas concernés; mettre à niveau Wheels vers 4.2.0 ou ultérieur.
MariaDBMySQL
IdentifiantCVE-2026-111444
GravitéCritique
Exploitationnon connue / non déterminée
Correctif4.2.0
Source : NVD — CVE-2026-111444
Analyse technique
Des littéraux dans des requêtes non paramétrées, notamment certaines listes IN et chaînes where, peuvent être altérés par des entrées contrôlées par l’utilisateur lorsque NO_BACKSLASH_ESCAPES est absent.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16; cet événement tombe dans la période demandée. La mise à jour de la fiche le même jour n’est pas traitée comme un événement distinct.
ImpactInjection SQL potentielle dans les applications utilisant Wheels avec MariaDB.
Versions affectéesWheels jusqu’à 4.1.2
Version corrigée4.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,26% · percentile 16,6%
Publication2026-10-16T04:18:30.353Z
Mise à jour2026-10-16T15:19:36.177Z
Action recommandée
Mettre à niveau Wheels vers la version 4.2.0 ou ultérieure; éviter de transmettre des entrées non fiables aux chemins SQL concernés.
Sources
Priorisation DFS : P3 · 1 source(s).