CVE-2026-33153

Tandoor Recipes reseptlərin idarə edilməsi, yemək planlaşdırılması və alış-veriş siyahılarının tərtib edilməsi üçün nəzərdə tutulmuş tətbiqdir. 2.6.0 versiyasından əvvəlki versiyalarda Recipe API son nöqtəsi gizli `?debug=true` sorğu parametrini üzə çıxarır ki, bu da icra olunan tam xam SQL sorğusunu, o cümlədən bütün cədvəl adlarını, sütun adlarını, JOIN əlaqələrini, WHERE şərtlərini (girişə nəzarət məntiqini ifşa edir) və çoxmüştəri sahə ID-lərini qaytarır. Bu parametr Django-nun `DEBUG=False` (istehsal rejimi) olduğu halda belə işləyir və imtiyaz səviyyəsindən asılı olmayaraq hər hansı autentifikasiya olunmuş istifadəçi üçün əlçatandır. Bu, aşağı imtiyazlı hücumçunun bütün verilənlər bazasının sxemini xəritələndirməsinə və avtorizasiya modelini tərs mühəndislik yolu ilə öyrənməsinə imkan verir. 2.6.0 versiyasında bu problem aradan qaldırılmışdır.