CVE-2026-27460mediumCWE-409

CVE-2026-27460: fallo de gravedad media en TandoorRecipes recipes

Tandoor Recipes Affected by Denial of Service via Recipe Import

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear recipes

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 0.3%
En resumen

Tandoor Recipes en versiones anteriores a 2.6.5 puede bloquearse o ralentizarse significativamente cuando un usuario autenticado sube un archivo ZIP muy grande durante la importación de recetas. Cualquier persona con acceso de login puede usar esto para interrumpir el servicio.

Detalle técnico

La vulnerabilidad se encuentra en la funcionalidad de importación de recetas, donde un usuario autenticado puede enviar un archivo ZIP comprimido de forma agresiva (ZIP bomb) que consume excesivos recursos del servidor (memoria, CPU o almacenamiento). El impacto es la degradación severa del rendimiento o indisponibilidad total de la aplicación, mitigado en la versión 2.6.5 mediante validación mejorada de entrada y límites de recursos.

Resumen generado y traducido por IA a partir de la descripción oficial.
Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.5, a critical Denial of Service (DoS) vulnerability was in the recipe import functionality. This vulnerability allows an authenticated user to crash the server or make a significantly degrade its performance by uploading a large size ZIP file (ZIP Bomb). This vulnerability is fixed in 2.6.5.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Productos afectados
TandoorRecipes · recipes
CVEs relacionadas — TandoorRecipes recipes

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-23211CRITICALTandoor Recipes - SSTI - Remote Code ExecutionEPSS 3.7%CVE-2025-23212HIGHTandoor Recipes - Local file disclosure - Users can read the content of any file on the serverEPSS 0.5%CVE-2026-33152CRITICALTandoor Recipes Vulnerable to Unrestricted Brute-Force via BasicAuthenticationEPSS 0.5%CVE-2026-25964MEDIUMTandoor Recipes Affected by Authenticated Local File Disclosure (LFD) via Recipe Import leads to Arbitrary File ReadEPSS 0.5%CVE-2026-33148MEDIUMURL Parameter Injection in FDC Food Search API Causes Server Crash and Exposes Internal API KeyEPSS 0.5%CVE-2026-33153HIGHTandoor Recipes's Unauthenticated Debug Parameter Leaks Full Raw SQL Queries Including Schema, Table Names, and Access Control LogicEPSS 0.5%