Šta se desilo?

Bezbednosno obaveštenje projekta Wheels opisuje SQL injekciju ispravljenu u verziji 4.1.2. CVE-2026-110911, objavljen 15. oktobra 2026, potvrđuje CVSS 3.1 ocenu 9,8. Obaveštenje projekta objavljeno je ranije, 1. oktobra.

Koga pogađa?

Pogođene su verzije 1.1.8–4.1.1, uz uslov da aplikacija prosleđuje podatke iz zahteva ranjivim metodama. Obuhvaćeni su dinamički pretraživači, where upiti, pretrage i izmene preko tekstualnih ili UUID ključeva i validatesUniquenessOf. Vrednosti numeričkih kolona nisu pogođene opisanim propustom.

Kako se zaštititi?

Ažurirajte Wheels na 4.1.2 ili novije odgovarajuće izdanje. Proverite pozive koji obrađuju korisnički unos i koristite parametrizovane upite. Dok ne primenite ispravku, ograničite prihvatljive ulaze prema očekivanom formatu; takva provera nije zamena za ažuriranje.

Tehnički detalji

Parser pogrešno obrađuje udvojeni apostrof, odnosno jednostruki navodnik, kao kraj tekstualnog literala. Ponovno tumačenje vrednosti kao SQL-a može promeniti upit. U verzijama 4.0.0–4.1.1 postoji i srodan problem sa tekstualnim i datumskim granicama whereBetween() na MySQL/MariaDB sistemima koji koriste obrnutu kosu crtu za escape obradu. I on je ispravljen u 4.1.2.

Zašto je važno?

Zavisno od upotrebljene metode, propust može ugroziti prijavu, resetovanje lozinke, proveru tokena i pristup podacima. U pregledanim primarnim izvorima nije potvrđena aktivna eksploatacija niti broj žrtava.

Preporuka Sajber Radara

Prioritet dajte aplikacijama koje prihvataju nepouzdane vrednosti za navedene metode. Posle nadogradnje proverite prijavu, resetovanje lozinki i druge važne upite, a evidencije pregledajte ako postoje znaci neovlašćenog pristupa.