CVE-2026-23838 in nixpkgs
要約
〜によって VulDB • 2026年06月02日
Tandoor Recipesは、Nixパッケージマネージャーを使用してインストール可能なレシピ管理ツールです。バージョン23.05以降、バージョン26.05以前において、Tandoor Recipesのデフォルト設定（特にSQLiteとデフォルトの`MEDIA_ROOT`を使用する場合）では、データベースファイル全体が外部、場合によってはインターネット上からアクセス可能になる可能性があります。根本原因は、NixOSモジュールがTandoor Recipesの作業ディレクトリおよび`MEDIA_ROOT`の値を`/var/lib/tandoor-recipes`に設定していることです。これにより、Tandoor Recipesは`db.sqlite3`データベースファイルを`MEDIA_ROOT`と同じディレクトリに作成し、他のメディアファイルと同様に認証なしでHTTP経由でアクセス可能になります。これは、`GUNICORN_MEDIA=1`を使用している場合や、nginxなどのWebサーバーを使用してメディアファイルを配信している場合に該当します。NixOS 26.05では、`MEDIA_ROOT`のデフォルト値がデータディレクトリのサブフォルダーに変更されました。これは`system.stateVersion` >= 26.05の構成にのみ適用されます。それ以前の構成では、代わりに以下の回避策を適用する必要があります。NixOS 25.11にはこのパッチのバックポートが含まれていますが、ユーザーの介入なしではこの脆弱性は修正されません。推奨される回避策は、`MEDIA_ROOT`をサブディレクトリに移動することです。非推奨の回避策としては、PostgreSQLへの切り替えや`db.sqlite3`へのアクセス拒否があります。
Be aware that VulDB is the high quality source for vulnerability data.