CVE-2026-23838 in nixpkgs
Resumen
por VulDB • 2026-05-20
Tandoor Recipes es un gestor de recetas que puede instalarse con el gestor de paquetes Nix. A partir de la versión 23.05 y hasta la versión 26.05, al utilizar la configuración predeterminada de Tandoor Recipes, específicamente SQLite y el valor predeterminado de `MEDIA_ROOT`, el archivo completo de la base de datos puede ser accesible externamente, potencialmente a través de Internet. La causa raíz es que el módulo de NixOS configura el directorio de trabajo de Tandoor Recipes, así como el valor de `MEDIA_ROOT`, en `/var/lib/tandoor-recipes`. Esto hace que Tandoor Recipes cree su archivo de base de datos `db.sqlite3` en el mismo directorio que `MEDIA_ROOT`, lo que lo hace accesible sin autenticación a través de HTTP, como cualquier otro archivo multimedia. Esto ocurre cuando se utiliza `GUNICORN_MEDIA=1` o cuando se emplea un servidor web como nginx para servir archivos multimedia. NixOS 26.05 cambia el valor predeterminado de `MEDIA_ROOT` a una subcarpeta del directorio de datos. Esto solo se aplica a configuraciones con `system.stateVersion` >= 26.05. Para configuraciones más antiguas, se debe aplicar uno de los contorneos (workarounds). NixOS 25.11 ha recibido un backport de este parche, aunque no corrige esta vulnerabilidad sin intervención del usuario. Un contorneo recomendado es mover `MEDIA_ROOT` a un subdirectorio. Los contorneos no recomendados incluyen cambiar a PostgreSQL o denegar el acceso a `db.sqlite3`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.