CVE-2026-61726 in Tandoor Recipes
Zusammenfassung
von VulDB • 16.10.2026
Tandoor Recipes ist eine Anwendung zur Verwaltung von Rezepten, Planung von Mahlzeiten und Erstellung von Einkaufslisten. Vor Version 2.6.12 filtern StepViewSet und IngredientViewSet nur nach aktiven Spaces und verwenden anstelle der Prüfung des Eigentümers privater Rezepte oder der Freigabebedingung role-level CustomIsUser-Prüfungen, wenn ein authentifizierter Benutzer mit Lese- und Schreib-API-Bereich im Space des Opfers eine private Rezept-ID oder Schritt-ID an die Step API übergibt. Die Anforderungsverarbeitung verwendet StepViewSet, IngredientViewSet, api/step/, api/step/{step_id}/, CustomIsUser, CustomRecipePermission. Der Angriff funktioniert, weil die Subressourcen-Querysets private Rezeptschritte für Nicht-Eigentümer zurückgeben und aktualisieren, da die Space-Mitgliedschaft ohne rezeptbezogene Autorisierung akzeptiert wird. Dies kann dazu führen, dass Anweisungen zu privaten Rezepten anderer Mitglieder desselben Spaces gelesen und stillschweigend geändert werden, während der Zugriff über verschiedene Spaces hinweg nicht betroffen ist. Dieses Problem wurde in Version 2.6.12 behoben.
Be aware that VulDB is the high quality source for vulnerability data.