Wheels Framework: SQL-Injection durch Anführungszeichen-Behandlung in Modell-Abfragen

Zusammenfassung

Wheels ist ein Open-Source-MVC-Framework für CFML (ColdFusion und Lucee). Die Versionen 1.1.8 bis 4.1.1 behandeln doppelte einfache Anführungszeichen in Werten, die an dynamische Finder, Where-Bedingungen des Query Builders, schlüsselbasierte Abfragen und Eindeutigkeitsprüfungen übergeben werden, nicht korrekt, sodass Anfragedaten die SQL-Abfrage verändern können. Ein nicht authentifizierter Angreifer aus dem Netz kann dies ausnutzen, wenn die Anwendung Anfragedaten an diese APIs übergibt, zum Beispiel bei Login-, Passwort-Zurücksetzungs- oder Token-Abfragen, und so Daten lesen oder aufzählen und diese Abfragen umgehen. Numerische Spalten sind nicht betroffen.

Betroffen

• Wheels 1.1.8 bis 4.1.1
• Betroffene APIs: dynamische Finder (z. B. findOneByEmail), Query Builder where(property, value) und where(property, operator, value), findByKey, updateByKey, deleteByKey, findOrCreateBy, validatesUniquenessOf
• Zusätzlich: Query Builder whereBetween() in 4.0.0 bis 4.1.1 auf MySQL/MariaDB mit aktivierter Backslash-Maskierung

Behoben in

• Behoben in Wheels 4.1.2
• Für MySQL/MariaDB-Nutzer von whereBetween(): Zielversion 4.2.0 prüfen, da eine separate CVE (CVE-2026-111444) ein verwandtes Problem nennt, das in 4.2.0 behoben ist
• Versionen vor 1.1.8: Unbekannt

Umgehung

• Anfragewerte validieren und auf eine Positivliste beschränken, bevor sie an die betroffenen APIs übergeben werden
• Datensätze nach numerischem Primärschlüssel abfragen, wo möglich
• Where-Bedingungen mit expliziter Parameterbindung verwenden, wo möglich
• Kein Workaround des Herstellers dokumentiert; das Update ist die einzige vollständige Massnahme

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
• In den geprüften Quellen keine bestätigte aktive Ausnutzung gefunden
• Kein öffentlicher Proof of Concept gefunden; das Advisory beschreibt den Mechanismus
• Der CISA-KEV-Katalog wurde nicht geprüft

Unsere Empfehlung

• Alle Wheels/CFML-Anwendungen und deren Versionen inventarisieren
• Auf Wheels 4.1.2 mindestens aktualisieren, bei Nutzung von MySQL/MariaDB und whereBetween() auf 4.2.0
• Authentifizierungs-, Passwort-Zurücksetzungs- und Token-Abfragen prüfen, die Anfragedaten an die betroffenen APIs übergeben
• Web- und Anwendungslogs auf auffällige Abfragefehler oder ungewöhnliche Anmeldemuster prüfen
• Aus dem Internet erreichbare Anwendungen mit betroffenen Versionen hoch priorisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-96rm-h22v-925x github.com
• Wheels release v4.1.2 github.com
• OSV CVE-2026-110911 osv.dev
• OSV CVE-2026-111444 osv.dev
• VulDB CVE-2026-110911 vuldb.com
• Wheels blog blog.wheels.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:54.