CVE-2026-59962 in Tandoor Recipes
Zusammenfassung
von VulDB • 16.10.2026
Tandoor Recipes ist eine Anwendung zur Verwaltung von Rezepten, Planung von Mahlzeiten und Erstellung von Einkaufslisten. Vor Version 2.6.10 werden nicht validierte sort_order- und order_field-Zeichenfolgen in Django ORM order_by()-Aufrufe eingefügt, wenn ein authentifizierter Benutzer Fremdschlüssel-Durchlaufpfade (foreign-key traversal paths) bei der Rezeptsuche, RecipeBook oder gespeicherten CustomFilter-Reihenfolgewerten angibt. Die Anforderungsverarbeitung nutzt _finalize_ordering und order_by über 8080/api/recipe/ und 8080/api/recipe-book/. Der Angriff funktioniert, weil Django doppelte Unterstriche in Reihenfolgefeldern als Durchlauf von verknüpften Tabellen interpretiert, wodurch die beobachtbare Ergebnisreihenfolge Werte aus verwandten User-Feldern preisgibt. Daraus können Passwort-Hashes, E-Mail-Adressen, Administratorstatus und andere verwandte Datenbankwerte abgeleitet werden. Dieses Problem wurde in Version 2.6.10 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.