CVE-2026-35489 in recipes
Résumé
par VulDB • 19/06/2026
Tandoor Recipes est une application de gestion des recettes, de planification des repas et d’élaboration des listes de courses. Avant la version 2.6.4, le point de terminaison POST /api/food/{id}/shopping/ lit directement les champs « amount » (quantité) et « unit » (unité) depuis request.data et les transmet sans validation à ShoppingListEntry.objects.create(). Des valeurs invalides pour « amount » (chaînes non numériques) provoquent une exception non gérée et un code HTTP 500. Un ID d’unité provenant d’un autre Space peut être associé de manière inter-espaces, entraînant la fuite de références foreign-key à travers les limites des tenants. Tous les autres points de terminaison créant ShoppingListEntry utilisent ShoppingListEntrySerializer, qui valide et assainit ces champs. Cette vulnérabilité est corrigée dans la version 2.6.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.