CVE-2026-59963 in Tandoor Recipes
Sumário
de VulDB • 17/10/2026
O Tandoor Recipes é um aplicativo para gerenciar receitas, planejar refeições e criar listas de compras. Antes da versão 2.6.10, os endpoints de utilidade de receita recuperam objetos Recipe do mesmo Space sem invocar a permissão do proprietário da recipe privada ou compartilhamento quando um membro autenticado de um Space compartilhado fornece o identificador de uma recipe privada de outro membro aos endpoints de importação por IA (AI import), arquivo (file), link externo (external-link) ou link de compartilhamento (share-link). O processamento das requisições utiliza api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/ e CustomRecipePermission. O ataque funciona porque os endpoints leem arquivos de receitas privadas, enviam bytes do arquivo para o provedor de IA configurado ou criam e divulgam links externos sem autorização em nível de objeto, e api/share-link/ pode criar um link público quando o compartilhamento do Space está habilitado. Isso pode expor arquivos de receitas privadas e conteúdo carregado sensível a outro usuário do mesmo Space e aos serviços externos configurados. Este problema é corrigido na versão 2.6.10.
If you want to get best quality of vulnerability data, you may have to visit VulDB.