OS command injection in Wheels CLI
CVSS Skor
7.8
EPSS İhtimal
—
Risk Skoru
0.8
Yayın
14 sa önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
2
Kaynak uyumu
Tam uyum
Kanıt güveni
%63
Kısa açıklama
Wheels CLI 4.0.0‑4.1.1 sürümleri, deploy, rollback ve paket içeriklerinde sağlanan değerleri yeterince doğrulamadığı için yerel komut enjeksiyonuna izin verir; bu, SSH kullanıcısı olarak dağıtım sunucusunda ve CI çalıştırıcısında kabuk komutları çalıştırabilir. Sorun 4.1.2 sürümünde düzeltilmiştir, ancak yama durumu resmi kaynaklarda doğrulanamamıştır.
Komut enjeksiyonu, saldırganların hedef sistemlerde tam kontrol elde etmesine ve veri kaybına yol açabilir.
Ne yapılmalı?
- Wheels CLI'yi 4.1.2 veya daha yeni sürüme yükseltin (S0)
- Yama durumu resmi kaynaklarda doğrulanamadığı için vendor advisory'yi yakından izleyin (S0)
- CI değişkenleri ve paket girdileri için sıkı doğrulama ve kaçış uygulayın
- CI pipeline'larını izleyerek beklenmeyen komut yürütmelerini tespit edin
- Oluşturulan admin ve scaffold görünümlerini manuel olarak inceleyin
Kanıt zinciri ve kaynaklar
Wheels CLI 4.0.0‑4.1.1 sürümleri, deploy, rollback ve paket içeriklerinde sağlanan değerleri doğrulamadığı için yerel OS komut enjeksiyonuna izin verir; bu, SSH kullanıcısı olarak dağıtım sunucusunda ve CI runner’da komut çalıştırabilir.
Bu sorun 4.1.2 sürümünde düzeltilmiştir, ancak yama durumu resmi kaynaklarda doğrulanamadığı için belirsizdir.
Kaynaklardaki teknik metni göster
Wheels CLI 4.0.0 through 4.1.1 insufficiently validates or escapes caller-supplied values and package contents. Deploy release/version/rollback values can execute shell commands on deploy hosts as the SSH user and on the CI runner during builds. Package removal and destroy paths can delete unintended files; package extraction can overwrite other vendor files; generator names can write outside the project or inject executable CFML into generated code. Inputs may originate from CI variables, branch names, packages or an AI agent using the CLI's MCP tools. Also relevant are unencoded display properties in generated scaffold show views since 4.1.0 and in generated admin views, permitting stored XSS, and stale process-ID handling in RustCFML server commands that can terminate an unrelated process. This is fixed in 4.1.2; existing affected generated views also require the documented edit.
CVSS vektörü: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE: CWE-78
Açıklama yerel gemini-flash-lite-latest modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-111451 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | Wheels | Wheels CLI | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 7.8 | CVSS V31 | HIGH | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H | NVD |
| 7.8 | CVSS V3_1 | HIGH | CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H | CVE CNA |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-111451 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-111451 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2026-111451"