CVE-2026-59963 in Tandoor Recipes
Riassunto
di VulDB • 17/10/2026
Tandoor Recipes è un'applicazione per la gestione delle ricette, la pianificazione dei pasti e la creazione di liste della spesa. Prima della versione 2.6.10, gli endpoint utility delle ricette recuperano oggetti Recipe dello stesso Space senza verificare l'autore dell'recipe privata o i permessi di condivisione quando un membro autenticato di uno Space condiviso fornisce a endpoint per importazione AI, file, link esterni o share-link l'identificatore della recipe privata di un altro membro. L'elaborazione delle richieste utilizza api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/ e CustomRecipePermission. L'attacco ha successo perché gli endpoint leggono i file delle ricette private, inviano byte del file al provider AI configurato o creano e divulgano link esterni senza autorizzazione a livello di oggetto; inoltre, api/share-link/ può creare un link pubblico quando la condivisione dello Space è abilitata. Ciò può esporre i file delle ricette private e i contenuti caricati sensibili ad altri utenti dello stesso Space e ai servizi esterni configurati. Questo problema è risolto nella versione 2.6.10.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.