CVE-2026-33152

Tandoor Recipes; tarifleri yönetmek, öğün planlamak ve alışveriş listeleri oluşturmak için kullanılan bir uygulamadır. 2.6.0 öncesindeki sürümlerde Tandoor Recipes, Django REST Framework'ü varsayılan kimlik doğrulama arka uçlarından biri olarak BasicAuthentication ile yapılandırır. AllAuth hız sınırlama yapılandırması (ACCOUNT_RATE_LIMITS: login: 5/m/ip), yalnızca /accounts/login/ adresindeki HTML tabanlı giriş uç noktası için geçerlidir. Kimliği doğrulanmış istekleri kabul eden herhangi bir API uç noktası, sıfır hız sınırlaması, sıfır hesap kilitlemesi ve sınırsız deneme ile Authorization: Basic başlıkları üzerinden hedef alınabilir. Bir saldırgan, bilinen herhangi bir kullanıcı adına karşı yüksek hızlı parola tahminleme işlemi gerçekleştirebilir. Sürüm 2.6.0 bu sorunu gidermektedir.