CVE-2026-59963 in Tandoor Recipes
Сводка
по VulDB • 16.10.2026
Tandoor Recipes — это приложение для управления рецептами, планирования приемов пищи и составления списков покупок. До версии 2.6.10 конечные точки утилиты рецептов извлекали объекты рецептов в рамках одного пространства (same-Space) без проверки владельца приватного рецепта или прав на его общий доступ, когда аутентифицированный участник общего пространства предоставлял идентификатор частного рецепта другого участника для импорта через AI, загрузки файла, получения внешней ссылки или создания общей ссылки. Обработка запросов использует конечные точки api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/ и класс CustomRecipePermission. Атака возможна из-за того, что эти конечные точки читают файлы частных рецептов, передают байты файла настроенному поставщику AI или создают и раскрывают внешние ссылки без проверки авторизации на уровне объекта; при этом api/share-link/ может создавать публичную ссылку, если включено общее пространство. Это может привести к раскрытию файлов частных рецептов и конфиденциального загруженного контента другим пользователям в том же пространстве, а также настроенным внешним службам. Эта проблема исправлена в версии 2.6.10.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.