Wheels Framework: Fehlende Zugriffskontrolle bei verschachtelten Eigenschaften (IDOR)

Zusammenfassung

Wheels 1.1 bis 4.1.2 lädt verschachtelte Formulardatensätze anhand des vom Request übermittelten Primärschlüssels, ohne zu prüfen, ob sie zum gespeicherten Elternobjekt gehören. Ein authentifizierter Benutzer, der ein verschachteltes Formular für sein eigenes Elternobjekt absenden kann, kann Kinddatensätze anderer Elternobjekte ändern, neu zuordnen oder, sofern allowDelete=true gesetzt ist, löschen; zudem lassen sich über verschachtelte belongsTo-Schlüssel Datensätze bearbeiten. Bei bestimmten zusammengesetzten Schlüsseln kann ein Request ausserdem die Identität neuer Kindzeilen festlegen.

Betroffen

• Wheels 1.1.0 bis einschliesslich 4.1.2 (Bereich laut CNA: 1.1.0 vor 4.2.0)

Behoben in

• Behoben in Wheels 4.2.0
• Patch-Versionen unterhalb von 4.2.0: Unbekannt.

Umgehung

• allowDelete=true bei verschachtelten Zuordnungen nicht verwenden, deren Schlüssel aus nicht vertrauenswürdiger Eingabe stammen.
• Vor dem Speichern im Controller prüfen, dass jeder übermittelte verschachtelte Kindschlüssel zum bearbeiteten Elternobjekt gehört, oder die verschachtelten Daten serverseitig aus den eigenen Kindern des Elternobjekts neu aufbauen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. CISA SSVC: Exploitation none, Automatable no.
• Im durchgeführten Recherchen kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle auf Wheels basierenden ColdFusion-(CFML-)Anwendungen inventarisieren und deren Version prüfen.
• Betroffene Anwendungen auf Wheels 4.2.0 oder neuer aktualisieren; zuerst in der Testumgebung prüfen, da das Release Verhaltensänderungen enthält.
• Bis zur Aktualisierung die Workarounds anwenden und das Absenden von Formularen auf vertrauenswürdige Benutzer bei internetseitig erreichbaren oder Mehrbenutzer-Anwendungen beschränken.
• Logs auf unerwartete Änderungen oder Löschungen verschachtelter Kinddatensätze prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6979-65wv-7pxq github.com
• Wheels release v4.2.0 github.com
• VulnDB CVE-2026-111447 vuldb.com
• Vulners CVE-2026-111447 vulners.com
• Strix CVE-2026-111447 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:57.