CVE-2026-33153

Tandoor Recipes; tarifleri yönetmek, öğün planlamak ve alışveriş listeleri oluşturmak için kullanılan bir uygulamadır. 2.6.0 öncesindeki sürümlerde, Recipe API uç noktası, yürütülen ham SQL sorgusunun tamamını döndüren gizli bir `?debug=true` sorgu parametresi sunmaktadır; bu durum tüm tablo adlarını, sütun adlarını, JOIN ilişkilerini, WHERE koşullarını (erişim kontrol mantığını ifşa ederek) ve çok kiracılı alan kimliklerini açığa çıkarmaktadır. Bu parametre, Django'nun `DEBUG=False` (üretim modu) olduğu durumlarda bile çalışmakta ve ayrıcalık düzeyine bakılmaksızın herhangi bir kimliği doğrulanmış kullanıcı tarafından erişilebilmektedir. Bu durum, düşük yetkili bir saldırganın tüm veritabanı şemasını haritalandırmasına ve yetkilendirme modelini tersine mühendislik ile çözmesine olanak tanır. Sürüm 2.6.0 bu sorunu gidermektedir.