Tandoor Recipes - Stored XSS through Unrestricted File Upload

O Tandoor Recipes permite fazer upload de arquivos sem validação adequada, possibilitando que invasores façam upload de arquivos HTML ou SVG com scripts maliciosos. Quando outros usuários visualizam esses arquivos, os scripts são executados, podendo roubar dados ou realizar ações não autorizadas.

Vulnerabilidade CWE-434 de upload sem restrições no Tandoor Recipes permite envio de arquivos HTML e SVG contendo payloads XSS. Quando servidos ou exibidos a outros usuários, esses arquivos executam JavaScript arbitrário no contexto do navegador da vítima, possibilitando roubo de sessão, captura de credenciais ou comprometimento de contas. A vulnerabilidade é corrigida na versão 1.5.28 através de validação de tipo de arquivo e filtragem de conteúdo.