PT-2026-30861 · Unknown · Tandoor Recipes

Filipegaudard · Publicado 2026-04-07 · Atualizado 2026-04-07 · CVE-2026-35488

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions Tandoor Recipes versões anteriores a 2.6.4

Description Tandoor Recipes é uma aplicação para gerenciar receitas, planejar refeições e criar listas de compras. O RecipeBookViewSet e o RecipeBookEntryViewSet usam CustomIsShared como uma classe de permissão. A função CustomIsShared.has object permission() incorretamente retorna True para todos os métodos HTTP (DELETE, PUT e PATCH) sem verificar se o método da requisição está dentro da lista de métodos seguros (SAFE METHODS). Isso permite que qualquer usuário na lista compartilhada de um RecipeBook o exclua ou modifique, apesar do acesso compartilhado ser destinado apenas à leitura.

Recommendations Atualize para a versão 2.6.4 ou posterior.

Correção

Enumeração de Fraquezas

CWE-749

Identificadores relacionados

CVE-2026-35488

Produtos afetados

Tandoor Recipes

Referências · 5

• https://github.com/TandoorRecipes/recipes/security/advisories/GHSA-xvmf-cfrq-4j8f · Nota
• https://github.com/TandoorRecipes/recipes/releases/tag/2.6.4 · Nota
• https://twitter.com/CVEnew/status/2041603226194071733 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2041619567747776610 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-35488 · Nota de Segurança