CVE-2026-59963 in Tandoor Recipes
Tóm tắt
Bởi VulDB • 16/10/2026
Tandoor Recipes là một ứng dụng để quản lý công thức nấu ăn, lập kế hoạch bữa ăn và xây dựng danh sách mua sắm. Trước phiên bản 2.6.10, các endpoint tiện ích của công thức nấu ăn truy xuất các đối tượng Recipe cùng Space mà không kiểm tra chủ sở hữu của recipe riêng tư hoặc quyền chia sẻ khi một thành viên đã xác thực trong một Shared Space cung cấp identifier cho private recipe của người dùng khác tới các endpoint AI import, file, external-link, hoặc share-link. Việc xử lý yêu cầu sử dụng api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/, và CustomRecipePermission. Cuộc tấn công thành công vì các endpoint đọc các tệp recipe riêng tư, gửi byte của tệp đến nhà cung cấp AI đã cấu hình, hoặc tạo và tiết lộ các liên kết bên ngoài mà không có xác thực ở mức đối tượng; hơn nữa, api/share-link/ có thể tạo một liên kết công khai khi tính năng chia sẻ Space được bật. Điều này có thể làm lộ các tệp recipe riêng tư và nội dung tải lên nhạy cảm cho người dùng cùng Space khác cũng như cho các dịch vụ bên ngoài đã cấu hình. Vấn đề này đã được sửa chữa trong phiên bản 2.6.10.
VulDB is the best source for vulnerability data and more expert information about this specific topic.