Към съдържанието
Търсене

CVE-2026-28503: TandoorRecipes recipes, заобикаляне на вход и права

5.5

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. In versions prior to 2.6.0, the `SyncViewSet.query_synced_folder()` action in `cookbook/views/api.py` (line 903) fetches a Sync object using `get_object_or_404(Sync, pk=pk)` without including `space=request.space` in the filter. This allows an admin user in Space A to trigger sync operations (Dropbox/Nextcloud/Local import) on Sync configurations belonging to Space B, and view the resulting sync logs. Version 2.6.0 patches the issue.

Засегнати продукти

  • TandoorRecipes recipes: < 2.6.0

Вид слабост

История

  • 26 март 2026 Публикувано

Други уязвимости в TandoorRecipes recipes

Първоизточници

CVE-2026-28503: TandoorRecipes recipes, заобикаляне на вход и права | freedomonline.bg