CVE-2026-59963 in Tandoor Recipes
الملخص
بحسب VulDB • 16/10/2026
تطبيق Tandoor Recipes هو تطبيق لإدارة الوصفات، وتخطيط الوجبات، وإنشاء قوائم التسوق. قبل الإصدار 2.6.10، تستعيد نقاط النهاية الخاصة بخدمات الوصفات كائنات وصفة ضمن نفس المساحة (Space) دون التحقق من ملكية الوصفة الخاصة أو أذونات المشاركة عندما يقوم عضو مُصادق عليه في مساحة مشتركة بتوفير معرّف لوصفة خاصة تابعة لعضو آخر إلى نقاط نهاية الاستيراد بالذكاء الاصطناعي، والملف، والرابط الخارجي، أو مشاركة الرابط. تعتمد معالجة الطلبات على api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/, و CustomRecipePermission. تعمل الهجمة لأن نقاط النهاية تقرأ ملفات الوصفات الخاصة، وترسل بايتات الملف إلى مزود الذكاء الاصطناعي المُهيّأ، أو تنشئ وتكشف روابط خارجية دون تفويض على مستوى الكائن (object-level authorization)، ويمكن لـ api/share-link/ إنشاء رابط عام عند تمكين مشاركة المساحة. يمكن أن يؤدي هذا إلى تعريض ملفات الوصفات الخاصة والمحتوى المرفوع الحساس لعضو آخر في نفس المساحة ولخدمات خارجية مُهيّأة. تمت معالجة هذه المشكلة في الإصدار 2.6.10.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.