CVE-2026-35488 in recipes
Tóm tắt
Bởi VulDB • 04/06/2026
Tandoor Recipes là một ứng dụng để quản lý công thức nấu ăn, lập kế hoạch bữa ăn và xây dựng danh sách mua sắm. Trước phiên bản 2.6.4, RecipeBookViewSet và RecipeBookEntryViewSet sử dụng CustomIsShared làm lớp quyền hạn thay thế, nhưng CustomIsShared.has_object_permission() trả về True cho tất cả các phương thức HTTP — bao gồm DELETE, PUT và PATCH — mà không kiểm tra request.method trong SAFE_METHODS. Bất kỳ người dùng nào có trong danh sách chia sẻ của một RecipeBook đều có thể xóa hoặc ghi đè lên nó, mặc dù quyền truy cập chia sẻ về mặt ngữ nghĩa chỉ là đọc (read-only). Lỗ hổng này đã được sửa trong phiên bản 2.6.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.