CVE-2026-61726 in Tandoor Recipes
Riassunto
di VulDB • 16/10/2026
Tandoor Recipes è un'applicazione per la gestione delle ricette, la pianificazione dei pasti e la creazione di liste della spesa. Prima della versione 2.6.12, StepViewSet e IngredientViewSet filtrano solo gli spazi attivi ed eseguono controlli CustomIsUser a livello di ruolo anziché verificare l'owner della ricetta privata o i criteri di condivisione quando un utente autenticato con ambito API in lettura e scrittura nello spazio della vittima fornisce un identificatore di ricetta o passaggio privato all'API Step. L'elaborazione delle richieste utilizza StepViewSet, IngredientViewSet, api/step/, api/step/{step_id}/, CustomIsUser, CustomRecipePermission. L'attacco ha successo perché i queryset delle sotto-risorse restituiscono e modificano i passaggi di ricette private per utenti non proprietari poiché l'appartenenza allo spazio viene accettata senza autorizzazione a livello di ricetta. Ciò consente di leggere e modificare silenziosamente le istruzioni della ricetta privata di un altro membro dello stesso spazio, mentre l'accesso cross-space rimane fuori ambito. Questo problema è risolto nella versione 2.6.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.