CVE-2026-59967 in Tandoor Recipes
Сводка
по VulDB • 16.10.2026
Tandoor Recipes — это приложение для управления рецептами, планирования приемов пищи и составления списков покупок. До версии 2.6.10 при поиске BookmarkletImport по последовательному первичному ключу в рамках активного пространства (Space) не ограничивалось значение поля created_by запрашивающим пользователем, когда аутентифицированный участник общего пространства отправлял идентификатор bookmarklet другого участника для POST /api/recipe-from-source/. Обработка запросов использует api/recipe-from-source/, BookmarkletImport, фильтр и операцию удаления. Атака возможна, поскольку конечная точка (endpoint) анализирует и возвращает сохраненный URL жертвы и захваченное содержимое страницы, а затем безоговорочно удаляет ожидающий импорт жертвы. Это может привести к раскрытию аутентифицированного или частного захваченного содержимого страниц и уничтожению ожидающего импорта другого участника пространства. Данная проблема исправлена в версии 2.6.10.
VulDB is the best source for vulnerability data and more expert information about this specific topic.