CVE-2026-33149

요약

# Tandoor Recipes 취약점 요약 Tandoor Recipes는 레시피 관리, 식사 계획, 쇼핑 목록 작성을 위한 애플리케이션입니다. 2.5.3 이하 버전은 기본적으로 `ALLOWED_HOSTS = '*'`로 설정되어 있어, Django가 HTTP Host 헤더의 모든 값을 검증 없이 수락하게 됩니다. 이 애플리케이션은 초대 링크 이메일, API 페이지네이션, OpenAPI 스키마 생성 등 여러 상황에서 절대 URL을 생성하기 위해 `request.build_absolute_uri()`를 사용합니다. 조작된 Host 헤더로 애플리케이션에 요청을 보낼 수 있는 공격자는 서버에서 생성되는 모든 절대 URL을 조작할 수 있습니다. 가장 심각한 영향은 초대 링크 중독(invite link poisoning)입니다: 관리자가 초대를 생성하고 애플리케이션이 초대 이메일을 보낼 때, 링크가 실제 애플리케이션이 아닌 공격자의 서버를 가리키게 됩니다. 피해자가 링크를 클릭하면 초대 토큰이 공격자에게 전송되며, 공격자는 이를 실제 애플리케이션에서 사용할 수 있습니다. 게시 시점 기준으로 패치된 버전이 제공되는지는 알려지지 않았습니다.

• CVE-2026-33149-PoCPoC

  CVE-2026-33149에 대한 개념 증명 익스플로잇으로, Tandoor Recipes의 Host 헤더 주입 취약점을 이용해 초대 링크 중독(invite link poisoning)과 캐시 중독(cache poisoning)을 가능하게 합니다. 호스트 승인, 페이지네이션, 스키마, 초대 중독을 위한 모듈이 포함되어 있습니다.