CVE-2026-23838

Tandoor Recipes, Nix paket yöneticisi ile kurulabilen bir tarif yöneticisidir. Versiyon 23.05'ten başlayarak versiyon 26.05 öncesine kadar, Tandoor Recipes'in varsayılan yapılandırması kullanıldığında, özellikle SQLite ve varsayılan `MEDIA_ROOT` kullanıldığında, tüm veritabanı dosyasına dışarıdan, potansiyel olarak internet üzerinden erişilebilir olabilir. Temel neden, NixOS modülünün Tandoor Recipes'in çalışma dizinini ve `MEDIA_ROOT` değerini `/var/lib/tandoor-recipes` olarak yapılandırmasıdır. Bu durum, Tandoor Recipes'in `db.sqlite3` veritabanı dosyasını `MEDIA_ROOT` ile aynı dizinde oluşturmasına neden olur ve böylece dosyanın diğer medya dosyaları gibi HTTP üzerinden kimlik doğrulama olmadan erişilebilir olmasına yol açar. Bu durum, `GUNICORN_MEDIA=1` kullanıldığında veya medya dosyalarını sunmak için nginx gibi bir web sunucusu kullanıldığında geçerlidir. NixOS 26.05, `MEDIA_ROOT` varsayılan değerini veri dizininin bir alt klasörü olarak değiştirir. Bu yalnızca `system.stateVersion` >= 26.05 olan yapılandırmalar için geçerlidir. Daha eski yapılandırmalar için bunun yerine geçici çözümlerden biri uygulanmalıdır. NixOS 25.11 bu yamanın geri portunu almıştır ancak kullanıcı müdahalesi olmadan bu güvenlik açığını gidermez. Önerilen geçici çözüm, `MEDIA_ROOT` kısmının bir alt dizine taşınmasıdır. Önerilmeyen geçici çözümler arasında PostgreSQL'e geçmek veya `db.sqlite3` dosyasına erişimi engellemek yer almaktadır.