CVE-2026-59963 in Tandoor Recipes
Resumen
por VulDB • 2026-10-16
Tandoor Recipes es una aplicación para gestionar recetas, planificar comidas y crear listas de la compra. Antes de la versión 2.6.10, los puntos finales (endpoints) de utilidad de las recetas recuperan objetos Recipe del mismo Space sin invocar al propietario de la receta privada ni verificar los permisos de compartición cuando un miembro autenticado de un Space compartido proporciona el identificador de una receta privada de otro usuario a los endpoints de importación por IA, archivo, enlace externo o compartir. El procesamiento de solicitudes utiliza api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/ y CustomRecipePermission. El ataque funciona porque estos puntos finales leen archivos de recetas privadas, envían bytes del archivo al proveedor de IA configurado o crean y divulgan enlaces externos sin una autorización a nivel de objeto; además, api/share-link/ puede crear un enlace público cuando la compartición del Space está habilitada. Esto puede exponer los archivos de recetas privadas y el contenido cargado sensible a otro usuario del mismo Space y a servicios externos configurados. Este problema se soluciona en la versión 2.6.10.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.