Tandoor has a Stored CSS Injection via <style> Tag in Recipe Instructions (API-Level)

Tandoor Recipes permite que usuários autenticados injetem código CSS malicioso nas instruções de receitas, que fica armazenado e é entregue a outros usuários. Isso pode ser usado para alterar a aparência do app, enganar usuários com links falsos ou roubar informações sensíveis.

Injeção de CSS armazenada via tags <style> não sanitizadas nas instruções de receitas, explorada por atacantes autenticados. O sanitizador bleach.clean() coloca <style> na lista branca, permitindo que payloads CSS arbitrários persistam no banco de dados e sejam servidos via API. Clientes que renderizam instructions_markdown como HTML sem sanitização adicional executam CSS controlado pelo atacante, possibilitando redirecionamento de interface, phishing e exfiltração de dados.