Wheels-Framework: SQL-Injection über Inline-Literale auf MySQL und MariaDB

Zusammenfassung

Wheels bis Version 4.1.2 ist anfällig für SQL-Injection auf MySQL und MariaDB, wenn Backslash-Escaping aktiv ist. Einige Codepfade schreiben Anfragedaten als gequotete Literale in SQL und maskieren nur einfache Anführungszeichen, was einen Backslash nicht abfängt, sodass der Wert aus dem String ausbrechen kann. Ein entfernter, nicht authentifizierter Angreifer könnte Datenbankinhalte lesen, ändern oder löschen, wenn eine Anwendung Anfragedaten in betroffene Pfade wie parameterize=false-Abfragen, IN-Listen oder ungebundene where-Positionen übergibt.

Betroffen

• Wheels bis und mit 4.1.2 (CNA-Eintrag: Versionen vor 4.2.0)
• Nur Anwendungen auf MySQL oder MariaDB mit Standard-sql_mode (ohne NO_BACKSLASH_ESCAPES)
• Nur wenn Anfragedaten in parameterize=false-Abfragen, IN-Listen oder ungebundene BETWEEN-, Funktionsargument- oder LIKE-ESCAPE-Literale in where-Strings gelangen
• PostgreSQL, SQL Server, SQLite, Oracle, H2 und CockroachDB sind laut Hersteller nicht betroffen

Behoben in

• Wheels 4.2.0

Umgehung

• Anfragedaten nur über gebundene APIs übergeben, z. B. where(property, value), Dynamic Finder, whereIn und whereBetween (ab 4.1.2)
• parameterize=false nicht mit Anfragedaten verwenden
• NO_BACKSLASH_ESCAPES im sql_mode von MySQL oder MariaDB setzen (vorher testen, da andere Anwendungen beeinflusst werden können; nicht vom Hersteller bestätigt)

Ausnutzung

• Öffentlicher Proof of Concept unter dem CVE-Namen vorhanden; Inhalt nicht geprüft
• Keine Hinweise auf Ausnutzung in freier Wildbahn oder Aufnahme in den CISA-KEV-Katalog gefunden
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total

Unsere Empfehlung

• Alle Wheels-Anwendungen und deren Versionen erfassen
• Auf Wheels 4.2.0 aktualisieren; Installationen auf 4.1.x dürfen nicht bei 4.1.2 stehen bleiben
• Verwendung von parameterize=false und ungebundenen where-Strings mit Benutzereingaben prüfen
• Aus dem Internet erreichbare Wheels-Anwendungen auf MySQL oder MariaDB als kritische Priorität behandeln
• Datenbankprotokolle auf ungewöhnliche Abfragefehler und Syntaxauffälligkeiten überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Syscallh00k/CVE-2026-111444

Quellen der Recherche

• GitHub Security Advisory GHSA-mvr9-2h5x-w6cq github.com
• OSV: CVE-2026-111444 osv.dev
• Wheels release v4.2.0 github.com
• Vulners: CVE-2026-111444 (CNA data) vulners.com
• VulDB: CVE-2026-111444 vuldb.com
• OSV: CVE-2026-110911 (related fix in 4.1.2) osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:45.