CVE-2026-33149

概要

# Tandoor Recipes の脆弱性概要 Tandoor Recipes は、レシピの管理、食事の計画、買い物リストの作成を行うアプリケーションです。バージョン 2.5.3 以前では、ALLOWED_HOSTS = '*' がデフォルト設定となっており、Django が HTTP Host ヘッダーの任意の値を検証なしで受け入れる原因となっています。このアプリケーションは、招待リンクメール、API のページネーション、OpenAPI スキーマ生成など、複数のコンテキストで絶対 URL を生成するために request.build_absolute_uri() を使用しています。細工された Host ヘッダーをアプリケーションに送信できる攻撃者は、サーバーが生成するすべての絶対 URL を操作できます。最も深刻な影響は招待リンクのポイズニングです。管理者が招待を作成し、アプリケーションが招待メールを送信すると、リンクは実際のアプリケーションではなく攻撃者のサーバーを指すようになります。被害者がリンクをクリックすると、招待トークンが攻撃者に送信され、攻撃者はそれを実際のアプリケーションで使用できます。本公表時点では、修正済みバージョンが利用可能かどうかは不明です。

• CVE-2026-33149-PoCPoC

  CVE-2026-33149の概念実証エクスプロイト。Tandoor RecipesにおけるHostヘッダーインジェクションで、招待リンクのポイズニングとキャッシュポイズニングを可能にします。ホスト受入、ページネーション、スキーマ、招待ポイズニング用のモジュールを含みます。