PT-2026-30685 · Unknown · Tandoor Recipes

Filipegaudard · Publicado 2026-04-06 · Atualizado 2026-04-06 · CVE-2026-35046

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Tandoor Recipes versões anteriores a 2.6.4

Description Tandoor Recipes permite que usuários autenticados injetem tags arbitrárias nas instruções de etapas da receita. O sanitizador bleach.clean() lista explicitamente a tag , permitindo que cargas úteis CSS não higienizadas sejam persistidas e servidas através da API. Clientes que consomem instructions markdown da API e o renderizam como HTML sem sanitização adicional executarão CSS controlado por um invasor, potencialmente habilitando redirecionamento de interface do usuário, sobreposições de phishing, desfiguração visual e exfiltração de dados baseada em CSS.

Recommendations Atualize para a versão 2.6.4 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-35046

Produtos afetados

Tandoor Recipes

Referências · 4

• 🔥 https://github.com/TandoorRecipes/recipes/security/advisories/GHSA-9hhh-g2fc-r8x2 · Exploit
• https://github.com/TandoorRecipes/recipes/releases/tag/2.6.4 · Nota
• https://twitter.com/CVEnew/status/2041223958083571871 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-35046 · Nota de Segurança