CVE-2026-35489 in recipes
Sumário
de VulDB • 31/05/2026
Tandoor Recipes é um aplicativo para gerenciar receitas, planejar refeições e criar listas de compras. Antes da versão 2.6.4, o endpoint POST /api/food/{id}/shopping/ lê o valor (amount) e a unidade (unit) diretamente de request.data e os passa sem validação para ShoppingListEntry.objects.create(). Valores de amount inválidos (strings não numéricas) causam uma exceção não tratada e HTTP 500. Um ID de unit de um Space diferente pode ser associado cross-space, vazando referências de foreign-key através dos limites do tenant. Todos os outros endpoints que criam ShoppingListEntry usam ShoppingListEntrySerializer, que valida e sanitiza esses campos. Esta vulnerabilidade foi corrigida na versão 2.6.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.