CVE-2026-33149
Təsvir
Tandoor Recipes reseptlərin idarə edilməsi, yemək planlaşdırılması və alış-veriş siyahılarının tərtib edilməsi üçün nəzərdə tutulmuş tətbiqdir. 2.5.3 daxil olmaqla daha aşağı versiyalarda standart olaraq ALLOWED_HOSTS = '*' təyin edilmişdir ki, bu da Django-nun HTTP Host başlığındakı hər hansı dəyəri doğrulama olmadan qəbul etməsinə səbəb olur. Tətbiq, dəvət linki e-poçtları, API səhifələnməsi və OpenAPI sxeminin yaradılması daxil olmaqla bir çox kontekstdə mütləq URL-lər yaratmaq üçün request.build_absolute_uri() funksiyasından istifadə edir. Manipulyasiya olunmuş Host başlığı ilə tətbiqə sorğular göndərə bilən hücumçu bütün server tərəfindən yaradılan mütləq URL-ləri dəyişdirə bilər. Ən kritik təsir dəvət linkinin zəhərlənməsidir: administrator dəvət yaratdıqda və tətbiq dəvət e-poçtunu göndərdikdə, link real tətbiq əvəzinə hücumçunun serverinə yönəlir. Qurban linkə kliklədikdə, dəvət tokeni hücumçuya göndərilir və hücumçu daha sonra ondan real tətbiqdə istifadə edə bilir. Nəşr edildiyi vaxt etibarilə, yamalanmış versiyanın mövcud olub-olmadığı məlum deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tandoor recipes | v ≤ 2.5.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.