CVE-2026-33148mediumCWE-74

CVE-2026-33148: fallo de gravedad media en TandoorRecipes recipes

URL Parameter Injection in FDC Food Search API Causes Server Crash and Exposes Internal API Key

Publicada el

Seguir esta CVE+ Monitorear recipes

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 0.5%
En resumen

Tandoor Recipes tiene un defecto en la búsqueda de alimentos donde la entrada del usuario no se valida correctamente antes de enviarse a una API externa. Un atacante puede inyectar parámetros adicionales en la solicitud para desactivar protecciones, bloquear el servidor o exponer información sensible.

Detalle técnico

CWE-74 (Neutralización Inadecuada de Elementos Especiales en Salida) mediante concatenación insegura de parámetros de URL en el endpoint de búsqueda FDC. El parámetro de consulta controlado por el atacante permite inyección de caracteres `&` para sobrescribir credenciales de API e inyectar parámetros arbitrarios, resultando en exposición de credenciales y negación de servicio.

Resumen generado y traducido por IA a partir de la descripción oficial.
Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. In versions prior to 2.6.0, the FDC (USDA FoodData Central) search endpoint constructs an upstream API URL by directly interpolating the user-supplied `query` parameter into the URL string without URL-encoding. An attacker can inject additional URL parameters by including `&` characters in the query value. This allows overriding the API key, manipulating upstream query behavior, and causing server crashes (HTTP 500) via malformed requests — a Denial of Service condition. Version 2.6.0 patches the issue.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Productos afectados
TandoorRecipes · recipes
CVEs relacionadas — TandoorRecipes recipes

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-23211CRITICALTandoor Recipes - SSTI - Remote Code ExecutionEPSS 3.7%CVE-2025-23212HIGHTandoor Recipes - Local file disclosure - Users can read the content of any file on the serverEPSS 0.5%CVE-2026-33152CRITICALTandoor Recipes Vulnerable to Unrestricted Brute-Force via BasicAuthenticationEPSS 0.5%CVE-2026-25964MEDIUMTandoor Recipes Affected by Authenticated Local File Disclosure (LFD) via Recipe Import leads to Arbitrary File ReadEPSS 0.5%CVE-2026-33153HIGHTandoor Recipes's Unauthenticated Debug Parameter Leaks Full Raw SQL Queries Including Schema, Table Names, and Access Control LogicEPSS 0.5%CVE-2026-35488HIGHTandoor Recipes — CustomIsShared permits DELETE/PUT on RecipeBook by shared (read-only) usersEPSS 0.4%