CVE-2026-59966 ReDoS en patrones de automatización de Tandoor Recipes

Qué es CVE-2026-59966

Antes de 2.6.10, Tandoor Recipes ejecuta patrones de expresiones regulares de automatización controlados por el usuario con re.sub() sin validación de complejidad ni timeout, de modo que un patrón con backtracking catastrófico puede ocupar un worker de Gunicorn y dejar el servicio no disponible. Corregido en 2.6.10.

Productos y versiones afectadas

• TandoorRecipes recipes

  • < 2.6.10

Qué hacer

1. Verificá si usás recipes y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.7 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.10, executes user-controlled Automation regular-expression patterns with Python re.sub() without complexity validation or an execution timeout when an authenticated user stores a catastrophic-backtracking regex and any user in the same Space imports a matching recipe. Request processing uses Automation.param_2, apply_regex_replace_automation, sub, api/recipe-from-source/. The attack works because the shared-Space automation engine evaluates the malicious pattern during recipe import and can occupy a Gunicorn worker until its request timeout. This can exhaust application worker slots and make the service unavailable to users. This issue is fixed in version 2.6.10.

Referencias

• github.com/TandoorRecipes/recipes/security/advisories/GHSA-f2gw-c2c7-59v7X_REFSOURCE_CONFIRM
• github.com/TandoorRecipes/recipes/commit/adc2732712819d7fe26a9f74f6b0271c1a9d87c3X_REFSOURCE_MISC
• github.com/TandoorRecipes/recipes/releases/tag/2.6.10X_REFSOURCE_MISC

Historial de la alerta

1. 16 OCT · 17:45VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.