CVE-2026-25964

ملخص

Tandoor Recipes هو تطبيق لإدارة الوصفات وتخطيط الوجبات وإنشاء قوائم التسوق. قبل الإصدار 2.5.1، ثغرة Path Traversal في سير عمل RecipeImport في Tandoor Recipes تسمح للمستخدمين المصادق عليهم الذين لديهم صلاحيات الاستيراد بقراءة ملفات عشوائية على الخادم. تنبع هذه الثغرة من نقص التحقق من صحة الإدخال في معامل file_path وعدم كفاية الفحوصات في الواجهة الخلفية للتخزين Local، مما يمكن المهاجم من تجاوز قيود دليل التخزين والوصول إلى ملفات النظام الحساسة (مثل /etc/passwd) أو ملفات إعدادات التطبيق (مثل settings.py)، مما قد يؤدي إلى اختراق كامل للنظام. تم إصلاح هذه الثغرة في الإصدار 2.5.1.

• CVE-2026-25964PoC

  إثبات مفهوم لاستغلال CVE-2026-25964، وهو كشف ملفات محلي مصادق عليه في Tandoor Recipes عبر اجتياز المسار في استيراد الوصفات، مما يسمح بقراءة ملفات عشوائية.