CVE-2026-35045-PoC

CVE-2026-35045 — Tandoor Recipes におけるオブジェクトレベル認可の欠陥 概要 Tandoor Recipes v2.6.1 の PUT /api/recipe/batchupdate/ エンドポイントは、スペース内の任意の認証済みユーザー がそのスペース内の任意のレシピ（他のユーザーが所有するプライベートレシピを含む）を変更することを許可します。これにより、すべての標準的な単一レシピエンドポイントで強制されるオブジェクトレベル認可チェックが完全にバイパスされます。 根本原因は Django REST Framework の動作上のギャップです :...

CVE-2026-35045: Authorization Bypass Through User-Controlled Key

Tandoor Recipes is an application for managing recipes, planning meals, and building shopping lists. Prior to 2.6.4, the PUT /api/recipe/batchupdate/ endpoint in Tandoor Recipes allows any authenticated user within a Space to modify any recipe in that Space, including recipes marked as private by...