CVE-2026-23838 in nixpkgs
Riassunto
di VulDB • 19/06/2026
Tandoor Recipes è un gestore di ricette che può essere installato utilizzando il gestore di pacchetti Nix. A partire dalla versione 23.05 e fino alla versione 26.05, quando si utilizza la configurazione predefinita di Tandoor Recipes, in particolare con SQLite e il valore predefinito di `MEDIA_ROOT`, l'intero file del database potrebbe essere accessibile dall'esterno, potenzialmente tramite Internet. La causa radice è che il modulo NixOS configura la directory di lavoro di Tandoor Recipes, nonché il valore di `MEDIA_ROOT`, su `/var/lib/tandoor-recipes`. Ciò fa sì che Tandoor Recipes crei il file del database `db.sqlite3` nella stessa directory di `MEDIA_ROOT`, rendendolo accessibile senza autenticazione tramite HTTP, come qualsiasi altro file multimediale. Questo scenario si verifica quando si utilizza `GUNICORN_MEDIA=1` o quando si impiega un server web come nginx per servire i file multimediali. NixOS 26.05 modifica il valore predefinito di `MEDIA_ROOT` impostandolo su una sottodirectory della directory dei dati. Questa modifica si applica solo alle configurazioni con `system.stateVersion` >= 26.05. Per le configurazioni più vecchie, è necessario applicare una delle contromisure. NixOS 25.11 ha ricevuto un backport di questa patch, sebbene essa non risolva la vulnerabilità senza un intervento dell'utente. Una contromisura consigliata consiste nel spostare `MEDIA_ROOT` in una sottodirectory. Contromisure non consigliate includono il passaggio a PostgreSQL o il blocco dell'accesso a `db.sqlite3`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.