CVE-2026-59962
Təsvir
Tandoor Recipes reseptlərin idarə edilməsi, yemək planlaşdırılması və alış-veriş siyahılarının tərtib edilməsi üçün nəzərdə tutulmuş tətbiqdir. 2.6.10 versiyasından əvvəl, autentifikasiya olunmuş istifadəçi resept axtarışı, RecipeBook və ya saxlanılan CustomFilter sıralama dəyərlərində xarici açar (foreign-key) keçid yollarını daxil etdikdə, tətbiq yoxlanılmamış sort_order və order_field sətirlərini Django ORM order_by() çağırışlarına ötürür. Sorğuların emalı 8080/api/recipe/ və 8080/api/recipe-book/ vasitəsilə _finalize_ordering və order_by funksiyalarından istifadə edir. Hücum ondan ibarətdir ki, Django iki alt xəttli (_) sıralama sahələrini əlaqəli cədvələ keçid kimi şərh edir və müşahidə olunan nəticə sıralaması əlaqəli User sahələrindən məlumatları sızdırır. Bu, parol heşlərinin, e-poçt ünvanlarının, administrator statusunun və digər əlaqəli verilənlər bazası dəyərlərinin müəyyən edilməsinə səbəb ola bilər. Bu problem 2.6.10 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| TandoorRecipes recipes | < 2.6.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.