目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-111451— Wheels CLI 4.0.0-4.1.1 远程代码执行与文件覆盖漏洞

一分钟漏洞结论

影响对象
Wheels Wheels CLI
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Wheels CLI 4.0.0 至 4.1.1 版本对调用方提供的值及包内容进行了不足的验证或转义。部署、发布、版本回滚等操作的值可在部署主机上以 SSH 用户身份执行 shell 命令，并在构建期间于 CI 运行器上执行。包移除和销毁路径可能删除非预期文件；包解压可能覆盖其他供应商文件；生成器名称可能向项目目录外写入文件，或在生成的代码中注入可执行的 CFML 代码。输入可能源自 CI 变量、分支名称、包，或使用该 CLI 的 MCP 工具的 AI 代理。此外，自 4.1.0 版本起，生成的脚手架“显示”视图中

CVSS 7.8 · High
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-111451 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
N/A
来源: CVE Program / CVE List V5
Vulnerability Description
Wheels CLI 4.0.0 through 4.1.1 insufficiently validates or escapes caller-supplied values and package contents. Deploy release/version/rollback values can execute shell commands on deploy hosts as the SSH user and on the CI runner during builds. Package removal and destroy paths can delete unintended files; package extraction can overwrite other vendor files; generator names can write outside the project or inject executable CFML into generated code. Inputs may originate from CI variables, branch names, packages or an AI agent using the CLI's MCP tools. Also relevant are unencoded display properties in generated scaffold show views since 4.1.0 and in generated admin views, permitting stored XSS, and stale process-ID handling in RustCFML server commands that can terminate an unrelated process. This is fixed in 4.1.2; existing affected generated views also require the documented edit.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
Wheels Wheels CLI 4.0.0 ~ 4.1.2 -

二、漏洞 CVE-2026-111451 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-111451 的情报信息

请登录查看更多情报信息。

CVE-2026-111451 其他参考 (1)

同批安全公告 · Wheels · 2026-10-16 · 共 9 条

CVE-2026-111444 9.8 CRITICAL Wheels 4.1.2 存在 SQL 注入漏洞
CVE-2026-111446 8.6 HIGH Wheels 4.0.0-4.1.2 未授权访问漏洞
CVE-2026-111445 8.1 HIGH Wheels 4.0.0-4.1.2 存在越权漏洞
CVE-2026-111447 8.1 HIGH Wheels 4.1.2 嵌套表单任意更新删除漏洞
CVE-2026-111443 6.5 MEDIUM Wheels 4.0.6-4.1.2 上下文切换漏洞
CVE-2026-111450 5.9 MEDIUM Wheels 4.1.1 冷启动 Host 头漏洞致信息泄露
CVE-2026-111449 5.9 MEDIUM Wheels 4.1.1 之前版本存在敏感信息泄露漏洞
CVE-2026-111448 3.7 LOW Wheels 4.0.0-4.1.2 路径遍历漏洞

IV. Related Vulnerabilities

Same product: Wheels CLI
Same vendor: Wheels
Same weakness: CWE-78

V. Comments for CVE-2026-111451

暂无评论

发表评论