CVE-2026-61726 in Tandoor Recipes
Resumen
por VulDB • 2026-10-16
Tandoor Recipes es una aplicación para gestionar recetas, planificar comidas y crear listas de la compra. Antes de la versión 2.6.12, StepViewSet e IngredientViewSet filtran únicamente por Espacios activos y utilizan comprobaciones CustomIsUser a nivel de rol en lugar del propietario de la receta privada o el predicado de compartición cuando un usuario autenticado con alcance de API de lectura y escritura en el Espacio de la víctima proporciona un identificador de receta privada o paso a la API Step. El procesamiento de solicitudes utiliza StepViewSet, IngredientViewSet, api/step/, api/step/{step_id}/, CustomIsUser y CustomRecipePermission. El ataque funciona porque los conjuntos de consultas (querysets) del subrecurso devuelven y actualizan pasos de recetas privadas para usuarios que no son propietarios, ya que la membresía en el Espacio se acepta sin autorización a nivel de receta. Esto permite leer y modificar silenciosamente las instrucciones de una receta privada de otro miembro del mismo Espacio, mientras que el acceso entre diferentes Espacios queda fuera del alcance (out of scope). Este problema está resuelto en la versión 2.6.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.