Wheels-Framework: Autorisierungsumgehung über Schlüsselabfrage ohne Scope

Zusammenfassung

Wheels 4.0.0 bis 4.1.2 (vor 4.2.0) ignoriert konfigurierte Scope-Bedingungen von Modellen in findByKey() und exists(key=). Verwendet eine Anwendung den Schlüssel aus einer Anfrage und stützt die Trennung nach Besitzer oder Mandant auf Scopes, kann ein authentifizierter Benutzer Datensätze anderer Benutzer oder Mandanten laden und anschliessend ändern oder löschen. Bei aktivierter Produktion mit deaktivierten Fehlerinformationen gibt exists(key=) für Schlüssel ausserhalb des Scopes true zurück statt einen Fehler auszulösen.

Betroffen

• Wheels 4.0.0 bis 4.1.2
• Alle Versionen ab 4.0.0 bis unter 4.2.0
• Betroffene Funktionen: findByKey(), exists(key=), updateByKey() und deleteByKey() in Kombination mit Scopes
• Versionen vor 4.0.0: Unbekannt.

Behoben in

• Wheels 4.2.0 (kombiniert Schlüsselbedingungen mit dem übergebenen Scope, Query Builder und where-Bedingungen)
• Backport auf 4.1.x: Unbekannt.

Umgehung

• Herstellerseitiger Workaround: Unbekannt.
• Auf der Scope-Kette findOne(where="id = #key#") oder findAll(where=...) statt findByKey verwenden.
• Besitzer oder Mandant bei jedem über einen Schlüssel aus der Anfrage geladenen oder geänderten Datensatz explizit prüfen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Der Angriff erfordert Netzwerkzugriff und ein gültiges Konto mit niedrigen Rechten.

Unsere Empfehlung

• Wheels auf 4.2.0 oder neuer aktualisieren, sofern die Anwendung betroffen ist.
• Bis zur Aktualisierung bei jedem über einen Schlüssel aus der Anfrage aufgerufenen Datensatz Besitzer oder Mandant prüfen.
• Nicht darauf vertrauen, dass die Einstellung für Fehlerinformationen in der Produktion schützt.
• Logs auf unerwartete Änderungen oder Löschungen bei Datensätzen anderer Benutzer oder Mandanten prüfen.
• Kundeninventar auf Wheels-Installationen mit mandanten- oder besitzerbasierten Scopes prüfen; diese hoch priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-2qh9-qcxq-f8qc github.com
• OSV: CVE-2026-111445 osv.dev
• Wheels release v4.2.0 github.com
• VulDB: CVE-2026-111445 vuldb.com
• Strix: CVE-2026-111445 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:56.