CVE-2026-35488highCWE-749

CVE-2026-35488: fallo de gravedad alta en TandoorRecipes recipes

Tandoor Recipes — CustomIsShared permits DELETE/PUT on RecipeBook by shared (read-only) users

Publicada el · Actualizada el

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.1epss 0.5%
probabilidad de explotación
0.5%top 59% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen

Una aplicación de gestión de recetas permite que usuarios con acceso de solo lectura a un libro de recetas compartido lo eliminen o modifiquen, anulando la restricción de lectura. Esto ocurre porque el verificador de permisos no valida correctamente qué acción se está realizando.

Detalle técnico

La clase CustomIsShared en RecipeBookViewSet y RecipeBookEntryViewSet no diferencia entre métodos HTTP seguros (GET, HEAD, OPTIONS) e inseguros (DELETE, PUT, PATCH) en has_object_permission(), permitiendo que cualquier usuario compartido ejecute operaciones destructivas en objetos RecipeBook independientemente de la intención de acceso de solo lectura.

Resumen generado y traducido por IA a partir de la descripción oficial.
Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.4, RecipeBookViewSet and RecipeBookEntryViewSet use CustomIsShared as an alternative permission class, but CustomIsShared.has_object_permission() returns True for all HTTP methods — including DELETE, PUT, and PATCH — without checking request.method in SAFE_METHODS. Any user who is in the shared list of a RecipeBook can delete or overwrite it, even though shared access is semantically read-only. This vulnerability is fixed in 2.6.4.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Productos afectados
TandoorRecipes · recipes
CVEs relacionadas — TandoorRecipes recipes

En el mismo producto, de las más peligrosas a las menos.

CVE-2025-23211CRITICALTandoor Recipes - SSTI - Remote Code ExecutionEPSS 3.6%CVE-2026-25964MEDIUMTandoor Recipes Affected by Authenticated Local File Disclosure (LFD) via Recipe Import leads to Arbitrary File ReadEPSS 0.6%CVE-2026-33152CRITICALTandoor Recipes Vulnerable to Unrestricted Brute-Force via BasicAuthenticationEPSS 0.5%CVE-2025-23212HIGHTandoor Recipes - Local file disclosure - Users can read the content of any file on the serverEPSS 0.5%CVE-2026-33148MEDIUMURL Parameter Injection in FDC Food Search API Causes Server Crash and Exposes Internal API KeyEPSS 0.5%CVE-2026-33153HIGHTandoor Recipes's Unauthenticated Debug Parameter Leaks Full Raw SQL Queries Including Schema, Table Names, and Access Control LogicEPSS 0.5%
Referencias
https://github.com/TandoorRecipes/recipes/releases/tag/2.6.4https://github.com/TandoorRecipes/recipes/security/advisories/GHSA-xvmf-cfrq-4j8f