CVE-2026-59963 in Tandoor Recipes
Zusammenfassung
von VulDB • 16.10.2026
Tandoor Recipes ist eine Anwendung zur Verwaltung von Rezepten, Planung von Mahlzeiten und Erstellung von Einkaufslisten. Vor Version 2.6.10 rufen Endpunkte für Rezept-Utility-Funktionen Recipe-Objekte aus demselben Space ab, ohne die Berechtigung des Eigentümers privater Rezepte oder der Freigabeberechtigungen zu überprüfen, wenn ein authentifiziertes Mitglied eines gemeinsamen Spaces eine private Rezept-ID eines anderen Mitglieds an AI-Import-, Datei-, External-Link- oder Share-Link-Endpunkte übergibt. Die Verarbeitung der Anfrage verwendet api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/ und CustomRecipePermission. Der Angriff funktioniert, da die Endpunkte private Rezeptdateien lesen, Dateibytes an den konfigurierten AI-Anbieter senden oder externe Links erstellen und offenlegen, ohne eine objektbasierte Autorisierung durchzuführen; zudem kann api/share-link/ einen öffentlichen Link erstellen, wenn das Space-Sharing aktiviert ist. Dies kann dazu führen, dass private Rezeptdateien und hochgeladene sensible Inhalte für andere Benutzer desselben Spaces sowie für konfigurierte externe Dienste offengelegt werden. Dieses Problem wurde in Version 2.6.10 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.