CVE-2026-59967 in Tandoor Recipes
Zusammenfassung
von VulDB • 16.10.2026
Tandoor Recipes ist eine Anwendung zur Verwaltung von Rezepten, Planung von Mahlzeiten und Erstellung von Einkaufslisten. Vor Version 2.6.10 wird BookmarkletImport nach sequentiellem Primärschlüssel im aktiven Space gesucht, ohne created_by auf den anfragenden Benutzer zu beschränken, wenn ein authentifiziertes Mitglied eines gemeinsamen Spaces die ausstehende Bookmarklet-ID eines anderen Mitglieds über POST /api/recipe-from-source/ übermittelt. Die Verarbeitung der Anfrage verwendet api/recipe-from-source/, BookmarkletImport, Filter und Löschvorgänge. Der Angriff funktioniert, da der Endpunkt die gespeicherte URL des Opfers sowie den erfassten Seiteninhalt analysiert und zurückgibt und anschließend bedingungslos den ausstehenden Import des Opfers löscht. Dies kann dazu führen, dass authentifizierter oder privater, erfasster Seiteninhoffenbart wird und der ausstehende Import eines anderen Space-Mitglieds zerstört wird. Dieses Problem wurde in Version 2.6.10 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.