Tandoor has a Stored CSS Injection via <style> Tag in Recipe Instructions (API-Level)

Tandoor Recipes permite que usuarios autenticados inyecten código CSS malicioso en las instrucciones de recetas, que se almacena y se entrega a otros usuarios. Esto puede usarse para alterar la apariencia de la aplicación, engañar a usuarios con enlaces falsos o robar información sensible.

Inyección de CSS almacenada mediante etiquetas <style> no sanitizadas en las instrucciones de recetas, explotada por atacantes autenticados. El sanitizador bleach.clean() incluye <style> en lista blanca, permitiendo que cargas CSS arbitrarias persistan en la base de datos y se sirvan a través de API. Los clientes que renderizan instructions_markdown como HTML sin sanitización adicional ejecutan CSS controlado por el atacante, habilitando suplantación de interfaz, phishing y posible exfiltración de datos.