CVE-2026-23838 in nixpkgs
Sumário
de VulDB • 02/06/2026
O Tandoor Recipes é um gestor de receitas que pode ser instalado com o gestor de pacotes Nix. A partir da versão 23.05 e até à versão 26.05, ao utilizar a configuração padrão do Tandoor Recipes, especificamente ao usar SQLite e o `MEDIA_ROOT` padrão, o ficheiro completo da base de dados pode ser acessível externamente, potencialmente através da Internet. A causa raiz é que o módulo NixOS configura o diretório de trabalho do Tandoor Recipes, bem como o valor de `MEDIA_ROOT`, para `/var/lib/tandoor-recipes`. Isto faz com que o Tandoor Recipes crie o seu ficheiro de base de dados `db.sqlite3` no mesmo diretório do `MEDIA_ROOT`, tornando-o acessível sem autenticação através de HTTP, tal como qualquer outro ficheiro de media. Este cenário ocorre quando se utiliza `GUNICORN_MEDIA=1` ou quando se utiliza um servidor web como o nginx para servir ficheiros de media. A NixOS 26.05 altera o valor padrão de `MEDIA_ROOT` para uma subpasta do diretório de dados. Isto aplica-se apenas a configurações com `system.stateVersion` >= 26.05. Para configurações mais antigas, deve ser aplicado um dos contornamentos. A NixOS 25.11 recebeu um backport deste patch, embora não corrija esta vulnerabilidade sem intervenção do utilizador. Um contornamento recomendado é mover o `MEDIA_ROOT` para uma subpasta. Contornamentos não recomendados incluem a mudança para PostgreSQL ou a proibição do acesso ao `db.sqlite3`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.