CVE-2026-35046mediumCWE-79

CVE-2026-35046: fallo de gravedad media en TandoorRecipes recipes

Tandoor has a Stored CSS Injection via <style> Tag in Recipe Instructions (API-Level)

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear recipes

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.4epss 0.2%
En resumen

Tandoor Recipes permite que usuarios autenticados inyecten código CSS malicioso en las instrucciones de recetas, que se almacena y se entrega a otros usuarios. Esto puede usarse para alterar la apariencia de la aplicación, engañar a usuarios con enlaces falsos o robar información sensible.

Detalle técnico

Inyección de CSS almacenada mediante etiquetas <style> no sanitizadas en las instrucciones de recetas, explotada por atacantes autenticados. El sanitizador bleach.clean() incluye <style> en lista blanca, permitiendo que cargas CSS arbitrarias persistan en la base de datos y se sirvan a través de API. Los clientes que renderizan instructions_markdown como HTML sin sanitización adicional ejecutan CSS controlado por el atacante, habilitando suplantación de interfaz, phishing y posible exfiltración de datos.

Resumen generado y traducido por IA a partir de la descripción oficial.
Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.4, Tandoor Recipes allows authenticated users to inject arbitrary <style> tags into recipe step instructions. The bleach.clean() sanitizer explicitly whitelists the <style> tag, causing the backend to persist and serve unsanitized CSS payloads via the API. Any client consuming instructions_markdown from the API and rendering it as HTML without additional sanitization will execute attacker-controlled CSS — enabling UI redressing, phishing overlays, visual defacement, and CSS-based data exfiltration. This vulnerability is fixed in 2.6.4.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Productos afectados
TandoorRecipes · recipes
CVEs relacionadas — TandoorRecipes recipes

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-23211CRITICALTandoor Recipes - SSTI - Remote Code ExecutionEPSS 3.7%CVE-2025-23212HIGHTandoor Recipes - Local file disclosure - Users can read the content of any file on the serverEPSS 0.5%CVE-2026-33152CRITICALTandoor Recipes Vulnerable to Unrestricted Brute-Force via BasicAuthenticationEPSS 0.5%CVE-2026-25964MEDIUMTandoor Recipes Affected by Authenticated Local File Disclosure (LFD) via Recipe Import leads to Arbitrary File ReadEPSS 0.5%CVE-2026-33148MEDIUMURL Parameter Injection in FDC Food Search API Causes Server Crash and Exposes Internal API KeyEPSS 0.5%CVE-2026-33153HIGHTandoor Recipes's Unauthenticated Debug Parameter Leaks Full Raw SQL Queries Including Schema, Table Names, and Access Control LogicEPSS 0.5%