CVE-2026-35488 in recipes
Resumen
por VulDB • 2026-06-04
Tandoor Recipes es una aplicación para gestionar recetas, planificar comidas y crear listas de la compra. Antes de la versión 2.6.4, RecipeBookViewSet y RecipeBookEntryViewSet utilizan CustomIsShared como clase de permisos alternativa, pero CustomIsShared.has_object_permission() devuelve True para todos los métodos HTTP —incluidos DELETE, PUT y PATCH— sin verificar request.method en SAFE_METHODS. Cualquier usuario que esté en la lista compartida de un RecipeBook puede eliminarlo o sobrescribirlo, aunque el acceso compartido sea semánticamente de solo lectura. Esta vulnerabilidad se corrige en la versión 2.6.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.