Wheels: Offenlegung von Entwicklungswerkzeugen unter /wheels/* für Remote-Clients
Zusammenfassung
Wheels 4.0.0 bis 4.1.2 stellt passwortlose Entwicklungswerkzeuge unter /wheels/* bereit, wenn enablePublicComponent auf true gesetzt ist, was in der Entwicklungsumgebung der Standard ist. Remote-Clients ohne Authentifizierung können Anwendungseinstellungen, Umgebungs- und Datenquellendetails sowie Routen auslesen und Testläufe starten. Verwendet ein Test die primäre Datenquelle, kann ein Testlauf die reale Anwendungsdatenbank verändern.
Betroffen
- Wheels 4.0.0 bis 4.1.2
- Nur wenn enablePublicComponent auf true gesetzt ist (Standard in der Entwicklungsumgebung)
Behoben in
- Wheels 4.2.0
Umgehung
- enablePublicComponent ausserhalb der Entwicklung auf false setzen und Produktionsserver nie im Entwicklungsmodus betreiben
- Entwicklungsserver an 127.0.0.1 binden oder Docker-Ports nur auf 127.0.0.1 veröffentlichen
- /wheels/* und /wheels-docs auf Reverse Proxy oder Webserver blockieren
- Sich nicht auf 4.1.2 verlassen: Die Einschränkung vertraut clientseitigen Headern
Ausnutzung
- Zum Zeitpunkt der Recherche keine bekannte Ausnutzung
- Kein öffentlicher Proof of Concept gefunden
- Nicht im CISA-KEV-Katalog; CISA SSVC: Ausnutzung none, automatisierbar yes
Unsere Empfehlung
- Auf Wheels 4.2.0 oder neuer aktualisieren, zusammen mit den verwandten Korrekturen im selben Release
- Prüfen, ob eine Wheels-Instanz aus dem Internet oder einem gemeinsam genutzten Netzwerk erreichbar ist und enablePublicComponent auf true steht
- /wheels/* für externe Clients bis zur Aktualisierung blockieren
- Sicherstellen, dass Testläufe in Nicht-Produktionsumgebungen nicht die Produktionsdatenquelle verwenden
- Webzugriffsprotokolle auf Anfragen an /wheels/* überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6v6c-p375-vxw9 github.com
- Wheels 4.2.0 release github.com
- VulDB CVE-2026-111446 vuldb.com
- Vulners CVE-2026-111446 vulners.com
- Strix CVE-2026-111446 www.strix.ai
- Wheels blog blog.wheels.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:55.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.