CVE-2026-110911
KrytyczneCVSS 9.8Streszczenie
Wheels w wersjach od 1.1.8 do 4.1.1 pozwala na wstrzyknięcie SQL, gdy wartości w cudzysłowach dostarczone przez wywołującego są ponownie parsowane jako SQL przez dynamiczne findery (takie jak findOneByEmail), metody where(property, value) i where(property, operator, value) buildera zapytań, ścieżki wyszukiwania po kluczu string/UUID (findByKey, updateByKey, deleteByKey i findOrCreateBy...) oraz validatesUniquenessOf. Parser błędnie traktuje podwojony apostrof jako koniec literału. Aplikacje przekazujące dane żądania do tych API mogą narazić uwierzytelnianie, resetowanie hasła lub wyszukiwanie tokenów oraz dane na nieautoryzowany dostęp; wartości kolumn numerycznych nie są dotknięte.
Ocena ryzyka
Atakujący może wykorzystać wstrzyknięcie SQL do nieautoryzowanego dostępu do danych, w tym do mechanizmów uwierzytelniania, resetowania hasła i tokenów. Może to prowadzić do przejęcia kont i wycieku poufnych informacji.
Rekomendacja
Należy zaktualizować Wheels do wersji 4.1.2, w której problem został naprawiony. Zaleca się również audyt aplikacji pod kątem przekazywania danych żądania do wymienionych API oraz unikanie ręcznego budowania zapytań SQL z danymi użytkownika.
Powiązane podatności
- CVE-2026-108587Krytyczne
Wtyczka 10Web Booster – Website speed optimization, Cache & Page Speed optimizer dla WordPress jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 2.34.10 włącznie poprzez funkcję compressCustom. Brak walidacji typu pliku i filtrowania rozszerzeń na parametrze page_id w połączeniu z publicznie czytelnym nonce omijającym uwierzytelnianie umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-93483Krytyczne
W Znuny do wersji 7.3.6 atakujący może ominąć standardowe procedury logowania i uzyskać nieautoryzowany dostęp do wrażliwych funkcji systemu poprzez manipulację określonym nagłówkiem żądania HTTP. Aplikacja błędnie ufa temu nagłówkowi, umożliwiając podszycie się pod dowolnego użytkownika, w tym administratora, bez podawania hasła. Moduły HTTPBasicAuth dla agenta i klienta odczytują nazwę użytkownika nie tylko z $ENV{REMOTE_USER}, ale także z $ENV{HTTP_REMOTE_USER}, który jest wypełniany bezpośrednio z kontrolowanego przez atakującego nagłówka "Remote-User".
- CVE-2026-110862Krytyczne
Better Auth od wersji 1.4.0-beta.18 przed 1.7.7 zawiera lukę obejścia uwierzytelniania, która pozwala nieuwierzytelnionym atakującym zalogować się jako inni użytkownicy poprzez ponowne użycie wartości stanu OAuth jako tokenów Magic Link. Atakujący może rozpocząć logowanie OAuth z adresem e-mail ofiary i przesłać zwrócony stan do weryfikacji Magic Link, uzyskując sesje lub tworząc fałszywie zweryfikowane konta e-mail.
- CVE-2026-108336Krytyczne
Gdy używany jest domyślny certyfikat samopodpisany, atakujący może uzyskać dostęp administracyjny do aplikacji. Certyfikat SSL interfejsu webowego jest używany do podpisywania tokenów dostępu JWT służących do weryfikacji zalogowania użytkownika; przy domyślnym certyfikacie atakujący może podpisywać tokeny JWT i ominąć logowanie. Atakujący może uzyskać dostęp administracyjny i wykonywać czynności takie jak konfiguracja usługi lub żądanie zbierania logów; dane uwierzytelniające urządzeń i dane klientów nie są dostępne przez tę lukę.
- CVE-2026-108335Krytyczne
Gdy funkcja resetowania hasła jest włączona i skonfigurowano e-mail, atakujący może przejąć dowolne konto za pomocą ataku brute-force. Brak ograniczenia liczby prób wprowadzenia kodu resetowania umożliwia brute-force wyzwania resetowania hasła. Atakujący może uzyskać dostęp administracyjny do aplikacji i wykonywać czynności takie jak konfiguracja usługi lub żądanie zbierania logów; dane uwierzytelniające urządzeń i dane klientów nie są dostępne przez tę lukę.
- CVE-2026-55684Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobrancas_geracao.php przyjmuje dane POST przez extract($_REQUEST) i wstawia je bezpośrednio do zapytania INSERT. Parametry numeryczne nie są walidowane ani ujmowane w cudzysłowy, a tekstowe można wykorzystać do wyjścia z kontekstu SQL. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane rozliczeniowe, dane członków, pracowników, uprawnienia i poświadczenia, a także usuwać tabele bazy danych.
- CVE-2026-55683Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelniony endpoint cadastro_cobranca.php przyjmuje dane POST przez extract($_REQUEST) i wstawia parametry valor, valor_pago, id_pessoa, id_socio oraz id_sociotipo bezpośrednio do zapytań UPDATE, INSERT i SELECT bez przygotowanych zapytań. Zdalny atakujący może wykonać dowolny kod SQL, odczytując lub modyfikując dane bazy WeGIA, w tym rekordy rozliczeniowe i poświadczenia. Ten sam dostęp SQL umożliwia usunięcie lub wyczyszczenie tabel, powodując utratę danych aplikacji.
- CVE-2026-55680Krytyczne
W aplikacji WeGIA przed wersją 3.8.6 nieuwierzytelnione żądania POST do web/html/socio/sistema/cadastro_cobranca.php mogą umieścić w parametrze codigo wyrażenie SQL w cudzysłowach, które extract($_REQUEST) przekazuje do klauzuli WHERE codigo= w zapytaniu UPDATE bez walidacji i parametryzacji. Ujęcie wartości w cudzysłów omija konwersję typu MariaDB dla kolumny VARCHAR i pozwala na wykonanie dowolnego kodu SQL bez sesji. Atakujący może odczytać lub zmodyfikować zawartość bazy, w tym hashe poświadczeń użytkowników i rekordy rozliczeniowe w tabeli cobrancas.
- CVE-2026-85714Krytyczne
W Stirling-PDF przed wersją 2.13.2 uwierzytelniony administrator korzystający z domyślnej bazy H2 i trybu bezpieczeństwa może przesłać spreparowany plik SQL do POST /api/v1/database/import-database. Funkcja DatabaseService.validateSqlContent() dzieli znormalizowane dane wejściowe po średnikach i akceptuje instrukcję, jeśli zawiera dowolne dozwolone słowo kluczowe, co pozwala na obejście niewystarczającej białej listy przez niebezpieczne funkcje H2, takie jak FILE_READ i CSVWRITE, oraz CREATE ALIAS, i wykonanie efektów ubocznych podczas przetwarzania pliku przez RUNSCRIPT. Umożliwia to dowolny dostęp do plików. Zademonstrowany łańcuch wykonania poleceń systemu operacyjnego zapisuje kontrolowane przez atakującego pliki startowe w lokalizacji użytkownika, a następnie uruchamia interpreter Pythona aplikacji skonfigurowany do ładowania tych plików, co skutkuje wykonaniem poleceń jako konto usługi JVM.
- CVE-2026-110536Krytyczne
W urządzeniu D-Link DIR-868L w wersji 2.01b05 wykryto podatność w funkcji system w pliku /htdocs/cgibin komponentu HNAP CGI Handler. Manipulacja argumentem SOAPACTION może prowadzić do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
Wheels 1.1.8 through 4.1.1 allows SQL injection when caller-supplied quoted values are parsed again as SQL by dynamic finders (such as findOneByEmail), the query builder's where(property, value) and where(property, operator, value), string/UUID-key lookup paths (findByKey, updateByKey, deleteByKey and findOrCreateBy...), and validatesUniquenessOf. The parser incorrectly treats a doubled single quote as the end of a literal. Applications passing request data to these APIs can expose authentication, password-reset or token lookups, and data to unauthorized access; numeric-column values are not affected. There is a similar concern for query-builder whereBetween() in 4.0.0 through 4.1.1: string/date bounds can alter SQL on MySQL/MariaDB with backslash escaping enabled. This is fixed in 4.1.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS