CVE-2026-59963 Elusión de autorización en endpoints de recetas de Tandoor Recipes

Qué es CVE-2026-59963

Antes de 2.6.10, los endpoints de utilidades de recetas recuperan recetas privadas de otro miembro del mismo Space sin verificar permisos de propietario o de compartición, lo que permite leer archivos privados, enviar su contenido al proveedor de IA configurado o crear y divulgar enlaces externos. Corregido en 2.6.10.

Productos y versiones afectadas

• TandoorRecipes recipes

  • < 2.6.10

Qué hacer

1. Verificá si usás recipes y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.10, recipe utility endpoints retrieve same-Space Recipe objects without invoking the private-recipe owner or sharing permission when an authenticated member of a shared Space supplies another member's private recipe identifier to AI import, file, external-link, or share-link endpoints. Request processing uses api/ai-import/, api/get_recipe_file/, api/get_external_file_link/, api/share-link/, CustomRecipePermission. The attack works because the endpoints read private recipe files, send file bytes to the configured AI provider, or create and disclose external links without object-level authorization, and api/share-link/ can create a public link when Space sharing is enabled. This can expose private recipe files and sensitive uploaded content to another same-Space user and to configured external services. This issue is fixed in version 2.6.10.

Referencias

• github.com/TandoorRecipes/recipes/security/advisories/GHSA-cqj3-64qw-4w52X_REFSOURCE_CONFIRM
• github.com/TandoorRecipes/recipes/commit/82fd4e00f1387a1c466489989f2e94487149f7f4X_REFSOURCE_MISC
• github.com/TandoorRecipes/recipes/commit/8b4a4c06902d024609d7376b6c45f5ea4f9bed07X_REFSOURCE_MISC
• github.com/TandoorRecipes/recipes/releases/tag/2.6.10X_REFSOURCE_MISC

Historial de la alerta

1. 16 OCT · 17:45VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.