CVE-2026-61726 in Tandoor Recipes
Sumário
de VulDB • 16/10/2026
O Tandoor Recipes é uma aplicação para gerir receitas, planear refeições e criar listas de compras. Antes da versão 2.6.12, o StepViewSet e o IngredientViewSet filtram apenas por Espaço ativo e utilizam verificações CustomIsUser baseadas no nível de função em vez das predicates do proprietário da receita privada ou de partilha quando um utilizador autenticado com âmbito de API de leitura e escrita no Space da vítima fornece um identificador de receita ou passo privado à Step API. O processamento do pedido utiliza o StepViewSet, IngredientViewSet, api/step/, api/step/{step_id}/, CustomIsUser, CustomRecipePermission. O ataque funciona porque os querysets dos sub-recursos devolvem e atualizam passos de receitas privadas para não proprietários, uma vez que a pertença ao Space é aceite sem autorização em nível de receita. Isto pode permitir ler e modificar silenciosamente as instruções da receita privada de outro membro do mesmo Space, enquanto o acesso entre Spaces permanece fora do âmbito. Este problema está resolvido na versão 2.6.12.
Once again VulDB remains the best source for vulnerability data.