CVE-2026-35488 in recipes
Résumé
par VulDB • 02/06/2026
Tandoor Recipes est une application de gestion de recettes, de planification de repas et de création de listes de courses. Avant la version 2.6.4, RecipeBookViewSet et RecipeBookEntryViewSet utilisent CustomIsShared comme classe d'autorisation alternative, mais CustomIsShared.has_object_permission() renvoie True pour toutes les méthodes HTTP — y compris DELETE, PUT et PATCH — sans vérifier request.method dans SAFE_METHODS. Tout utilisateur figurant dans la liste partagée d'un RecipeBook peut le supprimer ou le remplacer, bien que l'accès partagé soit sémantiquement en lecture seule. Cette vulnérabilité est corrigée dans la version 2.6.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.