CVE-2026-33149

Tandoor Recipes; tarifleri yönetmek, öğün planlamak ve alışveriş listeleri oluşturmak için kullanılan bir uygulamadır. 2.5.3 sürümü dahil önceki sürümler varsayılan olarak ALLOWED_HOSTS = '*' şeklinde ayarlanmıştır, bu durum Django'nun HTTP Host başlığındaki herhangi bir değeri doğrulama yapmadan kabul etmesine neden olur. Uygulama; davet bağlantısı e-postaları, API sayfalama ve OpenAPI şema oluşturma dahil olmak üzere birden fazla bağlamda mutlak URL'ler oluşturmak için request.build_absolute_uri() fonksiyonunu kullanır. Uygulamaya özel olarak hazırlanmış bir Host başlığı ile istek gönderebilen bir saldırgan, sunucu tarafından oluşturulan tüm mutlak URL'leri manipüle edebilir. En kritik etkisi ise davet bağlantısının zehirlenmesidir: Bir yönetici davetiye oluşturduğunda ve uygulama davet e-postasını gönderdiğinde, bağlantı gerçek uygulama yerine saldırganın sunucusuna yönlenir. Kurban bağlantıya tıkladığında, davet belirteci (token) saldırgana gönderilir ve saldırgan bunu daha sonra gerçek uygulamada kullanabilir. Yayınlandığı tarih itibarıyla, yamalanmış bir sürümün mevcut olup olmadığı bilinmemektedir.