Tandoor Recipes Affected by Private Recipe Exposure and Unauthorized Modification

O Tandoor Recipes permite que qualquer usuário logado em um espaço de trabalho modifique e exponha receitas privadas de outros usuários através de um endpoint de atualização em lote. Isso ultrapassa as verificações de segurança que normalmente protegem receitas individuais, permitindo que invasores forcem compartilhamentos ou alterem detalhes sem autorização.

O endpoint PUT /api/recipe/batch_update/ não implementa validação de autorização em nível de objeto presente nos endpoints de receita individual, permitindo que usuários autenticados modifiquem receitas arbitrárias dentro de seu Space, incluindo receitas privadas de outros usuários. Vetor de ataque é manipulação direta da API; pré-condição é autenticação do usuário dentro de um Space; impacto inclui exposição não autorizada, compartilhamento forçado e alteração de metadados. Corrigido na versão 2.6.4.