CVE-2026-59963 in Tandoor Recipes
요약
\~에 의해 VulDB • 2026. 10. 18.
Tandoor Recipes는 레시피 관리, 식사 계획 및 쇼핑 목록 작성을 위한 애플리케이션입니다. 버전 2.6.10 이전에는 공유된 Space의 인증된 구성원이 AI import, file, external-link 또는 share-link 엔드포인트에 다른 구성원의 비공개 레시피 식별자를 제공했을 때, recipe utility 엔드포인트가 private-recipe 소유자 확인이나 sharing 권한을 호출하지 않고 동일 Space 내 Recipe 객체를 검색합니다. 요청 처리에는 api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/, CustomRecipePermission이 사용됩니다. 이 공격은 엔드포인트들이 object-level authorization 없이 비공개 레시피 파일을 읽고, 파일 바이트를 구성된 AI 제공업체로 전송하거나 외부 링크를 생성 및 공개하며, Space sharing이 활성화된 경우 api/share-link/가 public link를 생성할 수 있기 때문에 성공합니다. 이로 인해 private recipe files와 민감한 업로드 콘텐츠가 동일 Space의 다른 사용자와 구성된 외부 서비스에 노출될 수 있습니다. 이 문제는 버전 2.6.10에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.