CVE-2026-61726 Elusión de autorización de recetas privadas en /api/step/ de Tandoor Recipes

Afectados

• TandoorRecipes recipes

  < 2.6.12

Qué hacer

1. Verificá si usás recipes y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

• Vector de ataqueRed
• Complejidad del ataqueBaja
• Privilegios requeridosBajos
• Interacción del usuarioNinguna
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadAlta
• DisponibilidadNinguna

Descripción original

Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.12, StepViewSet and IngredientViewSet filter only by active Space and use role-level CustomIsUser checks instead of the private-recipe owner or sharing predicate when an authenticated user with read and write API scope in the victim's Space supplies a private recipe or step identifier to the Step API. Request processing uses StepViewSet, IngredientViewSet, api/step/, api/step/{step_id}/, CustomIsUser, CustomRecipePermission. The attack works because the sub-resource querysets return and update private-recipe steps for non-owners because Space membership is accepted without recipe-level authorization. This can read and silently modify another same-Space member's private recipe instructions, while cross-Space access remains out of scope. This issue is fixed in version 2.6.12.

Referencias (3)

• github.com/TandoorRecipes/recipes/security/advisories/GHSA-wjf3-fq5w-7j7w
• github.com/TandoorRecipes/recipes/commit/3c5678f663e62e6ddf3d7df0b2bcc89ce2f52def
• github.com/TandoorRecipes/recipes/releases/tag/2.6.12

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.