Tandoor Recipes Affected by Private Recipe Exposure and Unauthorized Modification
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Tandoor Recipes permite que cualquier usuario autenticado en un espacio de trabajo modifique y exponga recetas privadas de otros usuarios a través de un endpoint de actualización en lote. Esto elude las verificaciones de seguridad que normalmente protegen recetas individuales, permitiendo que atacantes fuercen comparticiones o alteren detalles sin autorización.
El endpoint PUT /api/recipe/batch_update/ carece de validación de autorización a nivel de objeto presente en endpoints de receta individual, permitiendo que usuarios autenticados modifiquen recetas arbitrarias dentro de su Space, incluyendo recetas privadas de otros usuarios. Vector de ataque es manipulación directa de API; precondición es autenticación del usuario dentro de un Space; impacto incluye exposición no autorizada, compartición forzada y alteración de metadatos. Corregido en versión 2.6.4.