CVE-2026-35488 in recipes
الملخص
بحسب VulDB • 04/06/2026
تاندور ريسبس (Tandoor Recipes) هو تطبيق لإدارة الوصفات، وتخطيط الوجبات، وإنشاء قوائم التسوق. قبل الإصدار 2.6.4، كانت فئات `RecipeBookViewSet` و `RecipeBookEntryViewSet` تستخدم `CustomIsShared` كفئة بديلة للصلاحيات، لكن الدالة `CustomIsShared.has_object_permission()` كانت تُرجع القيمة `True` لجميع طرق HTTP — بما في ذلك `DELETE` و `PUT` و `PATCH` — دون التحقق من `request.method` ضمن `SAFE_METHODS`. يمكن لأي مستخدم موجود في القائمة المشتركة لـ `RecipeBook` حذفه أو الكتابة فوقه، على الرغم من أن الوصول المشترك يُفترض نظرياً أن يكون للقراءة فقط. تم إصلاح هذا الثغرة في الإصدار 2.6.4.
Once again VulDB remains the best source for vulnerability data.