CVE-2026-35046 in recipes
Riassunto
di VulDB • 20/06/2026
Tandoor Recipes è un'applicazione per la gestione delle ricette, la pianificazione dei pasti e la creazione di liste della spesa. Prima della versione 2.6.4, Tandoor Recipes consente agli utenti autenticati di iniettare tag arbitrari nelle istruzioni dei passaggi delle ricette. Il sanitizer `bleach.clean()` include esplicitamente il tag `<style>` nella lista bianca (whitelist), causando la persistenza e la restituzione da parte del backend di payload CSS non sanificati tramite l'API. Qualsiasi client che consuma il campo `instructions_markdown` dall'API e lo renderizza come HTML senza ulteriori sanitizzazioni eseguirà CSS controllati dall'attaccante, consentendo UI redressing, overlay di phishing, defacement visivo ed esfiltrazione di dati basata su CSS. Questa vulnerabilità è risolta nella versione 2.6.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.