CVE-2026-35046mediumCWE-79

CVE-2026-35046: falha de média gravidade em TandoorRecipes recipes

Tandoor has a Stored CSS Injection via <style> Tag in Recipe Instructions (API-Level)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar recipes

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.4epss 0.2%
Em resumo

Tandoor Recipes permite que usuários autenticados injetem código CSS malicioso nas instruções de receitas, que fica armazenado e é entregue a outros usuários. Isso pode ser usado para alterar a aparência do app, enganar usuários com links falsos ou roubar informações sensíveis.

Detalhe técnico

Injeção de CSS armazenada via tags <style> não sanitizadas nas instruções de receitas, explorada por atacantes autenticados. O sanitizador bleach.clean() coloca <style> na lista branca, permitindo que payloads CSS arbitrários persistam no banco de dados e sejam servidos via API. Clientes que renderizam instructions_markdown como HTML sem sanitização adicional executam CSS controlado pelo atacante, possibilitando redirecionamento de interface, phishing e exfiltração de dados.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.4, Tandoor Recipes allows authenticated users to inject arbitrary <style> tags into recipe step instructions. The bleach.clean() sanitizer explicitly whitelists the <style> tag, causing the backend to persist and serve unsanitized CSS payloads via the API. Any client consuming instructions_markdown from the API and rendering it as HTML without additional sanitization will execute attacker-controlled CSS — enabling UI redressing, phishing overlays, visual defacement, and CSS-based data exfiltration. This vulnerability is fixed in 2.6.4.
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Produtos afetados
TandoorRecipes · recipes
CVEs relacionadas — TandoorRecipes recipes

No mesmo produto, das mais perigosas para as menos.

CVE-2025-23211CRITICALTandoor Recipes - SSTI - Remote Code ExecutionEPSS 3.7%CVE-2025-23212HIGHTandoor Recipes - Local file disclosure - Users can read the content of any file on the serverEPSS 0.5%CVE-2026-33152CRITICALTandoor Recipes Vulnerable to Unrestricted Brute-Force via BasicAuthenticationEPSS 0.5%CVE-2026-25964MEDIUMTandoor Recipes Affected by Authenticated Local File Disclosure (LFD) via Recipe Import leads to Arbitrary File ReadEPSS 0.5%CVE-2026-33148MEDIUMURL Parameter Injection in FDC Food Search API Causes Server Crash and Exposes Internal API KeyEPSS 0.5%CVE-2026-33153HIGHTandoor Recipes's Unauthenticated Debug Parameter Leaks Full Raw SQL Queries Including Schema, Table Names, and Access Control LogicEPSS 0.5%