CVE-2026-33149 in recipes
Riassunto
di VulDB • 16/06/2026
Tandoor Recipes è un'applicazione per la gestione delle ricette, la pianificazione dei pasti e la creazione di liste della spesa. Le versioni fino alla 2.5.3 incluse impostano ALLOWED_HOSTS = '*' come valore predefinito, il che fa sì che Django accetti qualsiasi valore nell'header HTTP Host senza effettuare alcuna validazione. L'applicazione utilizza request.build_absolute_uri() per generare URL assoluti in diversi contesti, tra cui le email con i link di invito, la paginazione dell'API e la generazione dello schema OpenAPI. Un attaccante che riesce a inviare richieste all'applicazione utilizzando un header Host manipolato ad hoc può modificare tutti gli URL assoluti generati dal server. L'impatto più critico è l'avvelenamento dei link di invito: quando un amministratore crea un invito e l'applicazione invia la relativa email, il link punta al server dell'attaccante invece che all'applicazione reale. Quando la vittima fa clic sul link, il token di invito viene inviato all'attaccante, che può successivamente utilizzarlo sull'applicazione legittima. Al momento della pubblicazione, non è noto se sia disponibile una versione corretta (patched).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.