CVE-2026-110909

ŚrednieCVSS 5.0

Opublikowano: 15/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Wheels CLI do wersji 4.1.0 nie weryfikuje, czy lokalny serwer deweloperski odpowiadający na żądania HTTP należy do bieżącego projektu. Proces nasłuchujący na porcie docelowym CLI może otrzymać hasło przeładowania projektu i kod przesyłany przez wheels reload lub wheels console; console dodatkowo sonduje typowe porty, gdy serwer projektu jest niedostępny.

Ocena ryzyka

Atakujący może przechwycić hasło przeładowania i kod projektu lub wykonać niepożądane operacje zmieniające stan na serwerze innej lokalnej aplikacji, co prowadzi do wycieku danych lub modyfikacji.

Rekomendacja

Zaktualizuj Wheels CLI do wersji 4.1.1 lub nowszej, która zawiera poprawki weryfikacji serwera i szablonu aplikacji.

Inne podatności w Wheels CLI

CVE-2026-111451Wysokie
Wheels CLI w wersjach 4.0.0–4.1.1 niewystarczająco waliduje lub escapuje wartości podane przez użytkownika oraz zawartość pakietów. Może to prowadzić do wykonania poleceń powłoki na hostach wdrożeniowych i w runnerze CI, usunięcia niepożądanych plików, nadpisania plików innych dostawców, zapisu poza projektem, wstrzyknięcia wykonywalnego CFML, przechowywanego XSS oraz zakończenia niepowiązanego procesu.

Oryginalny opis (angielski, źródło NVD)

Wheels CLI through 4.1.0 does not verify that the local development server answering its HTTP requests belongs to the current project. A process listening on a port targeted by the CLI can receive the project's reload password and code submitted through wheels reload or wheels console; console also probes common ports when the project server is down. Other commands can perform unintended state-changing operations against a different local application's server and database. Exploitation requires a process listening on a targeted local port and the developer running an affected command. This is fixed in 4.1.1, including changes to the CLI and application template.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS