CVE-2026-111451

Wheels CLI 4.0.0 ile 4.1.1 arasındaki sürümler, kullanıcı tarafından sağlanan değerleri ve paket içeriklerini yetersiz şekilde doğrulamakta veya kaçırmaktadır. Deploy release/version/rollback değerleri, deploy hostlarında SSH kullanıcısı olarak ve derleme sırasında CI runner üzerinde kabuk komutları çalıştırabilir. Paket kaldırma ve yok etme yolları istenmeyen dosyaları silebilir; paket çıkarma işlemi diğer vendor dosyalarının üzerine yazabilir; oluşturucu isimleri proje dışına yazı yazabilir veya oluşturulan koda yürütülebilir CFML enjekte edebilir. Girdiler; CI değişkenlerinden, dal isimlerinden, paketlerden veya CLI'ın MCP araçlarını kullanan bir yapay zeka ajanından kaynaklanabilir. Ayrıca, 4.1.0 sürümünden itibaren oluşturulan scaffold show görünümlerindeki ve oluşturulan admin görünümlerindeki kodlanmamış görüntüleme özellikleri saklı XSS'e izin vermektedir ve RustCFML sunucu komutlarındaki güncelliğini yitirmiş işlem kimliği (process-ID) yönetimi ilgisiz bir işlemin sonlandırılmasına neden olabilir. Bu durum 4.1.2 sürümünde düzeltilmiştir; etkilenen mevcut oluşturulmuş görünümler için belgelenen düzenlemenin yapılması da gerekmektedir.